「JavaScriptを使わずにWebブラウザの閲覧履歴を盗む」記事へのコメント

元記事を読まずに手口を予想

[Anonymous Coward]

:visitedセレクタあたりを使って訪れているサイトを判定する。
あとはそれを...どうやって取得するんだろうｗ

対策

[Anonymous Coward]

対策として、次のようなユーザースタイルシートを使えばいいかもしれない。
a:visited {
        background: none !important;
}
IEだと制限つきサイトに登録しても動かなくなりますね。

逆にすべて訪問済み扱いにしてやろう

[Anonymous Coward]

読み込ませないことを考えるより、単なる総当たり攻撃なことを逆につくのはどうでしょう？

ユーザーによる対策ではありませんがブラウザのコードとして、:visitedセレクタ内で画像を読む場合それが要素で使われているかどうかの有無を言わさず読み込むようにします。そうすればサイト側が送り込んだ全URLが本当はどうかに関わらず、訪問済み扱いとして取得され、盗んだ履歴が全く信用できないものになります。

もちろん昨今の高速化の流れとは逆行するものになりますけど、その「高速化のために読みとばす」事を利用した攻撃と考えたら。

Re:逆にすべて訪問済み扱いにしてやろう

[shuichi (572)]

この手の手法（悪用された場合ね）は正確性よりも量がものを言うので
多くの人が対応しないと意味がなさげですね。
ブラウザ側で対応してもらうといいんだけど、通信料が増えるので
携帯・モバイル用では難しいでしょうね。

ところで、この手法を使用（悪用？）できそうなサイトはどれぐらいあるんでしょうか？
検索・広告サイトとかなら使えそうですが他に思いつきません。

Re:

[Anonymous Coward]

Bing [bing.com]o!

自作自演なのでAC ...ってもろバレじゃん∑(ﾟ□ﾟ;)