隨著Chrome 76的發布，谷歌修復了一個漏洞：允許網站檢測訪問者是否使用了隱身模式。然而，不幸的是他們的修復導致我們仍可利用兩種方法檢測訪問者何時隱身瀏覽網站。
作者 | Lawrence Abrams
譯者 | 彎月，責編 | 郭芮
出品 | CSDN（ID：CSDNnews）
以下為譯文：
有些網站采用隱身模式檢測是為了防止用戶繞過付費，或為隱私模式瀏覽的用戶提供不同的瀏覽體驗。
我們可以通過檢查是否可以訪問Chrome的FileSystem API來檢測隱身模式，因為在隱身模式下該API會被禁用。如果站點可以訪問FileSystem API，則表明訪問者處于正常的瀏覽會話中；如果無法訪問該API，則表明用戶處于隱身模式。
由于google希望用戶能夠隱身瀏覽網頁，而且希望是否選擇隱身這個選擇也是私密的，因此為了修復這個漏洞，他們在兩種瀏覽模式下皆提供了API。作為該修復程序的一部分，當用戶處于隱身模式時，Chrome利用臨時的內存文件系統取代了FileSystem API的磁盤存儲，而這些臨時的內存文件會在會話關閉時會被清除。
但是，使用內存文件系統引發了兩個新的漏洞，我們可以利用這兩個漏洞檢測隱身模式，如下所述。
1.通過文件系統配額檢測隱身模式
由于谷歌決定隱身模式使用計算機內存作為臨時文件系統，因此我們可以根據內部文件系統為瀏覽器預留的存儲量來開辟一種檢測隱身模式的新方法。
安全研究員Vikas Mishra在研究中提出，他發現Chrome為隱身模式使用的臨時內存文件系統分配的存儲空間的最大配額為120MB。
“根據上述觀察結果，隱身和非隱身模式之間臨時存儲配額的主要差異在于，隱身模式有一個硬性限制為120MB，而非隱身模式則沒有這種限制。從上表中可以看出，臨時存儲配額小于120MB，而在非隱身模式下設備存儲必須小于2.4GB。然而，在實際情況中，我們可以放心地認為，當前地絕大多數設備的存儲空間都超過了2.4GB。”
Mishra利用這些觀察結果編寫了一個腳本，用于查詢分配給瀏覽器文件系統的配額，如果該配額少于120MB，則表示瀏覽器處于隱身模式。
BleepingComputer以Mishra的腳本的為基礎，提出了一個簡單的驗證概念來演示這種技術，如下所示：
根據服務系統的配額檢測隱身模式
2.通過訪問時間檢測隱身模式
在讀取和寫入數據時，內存文件系統的系統比磁盤文件系統更快。當Chrome進入隱身模式，切換到內存文件系統時，我們可以通過測量寫入文件系統的速度來檢測隱身模式瀏覽。
這種新的檢測方法是由研究員Jesse Li發現的，她測量了瀏覽器文件系統的一系列寫入。理論上各個網站可以根據這些寫入的速度，確定瀏覽器是否使用了隱身模式。
常規模式與隱身模式時的寫入速度
與Mishra的研究不同，Li沒有提出這種方法完整的驗證概念，但她提供了一個可以測量寫入速度并顯示結果的腳本。我們期待有人利用這種方法檢測隱身模式。
此外，Li的方法需要許多寫入來確定文件系統的速度，因此這個檢測過程需要花費大量時間。
如果你想測量隱身和常規瀏覽模式下文件系統的寫入速度，那么可以嘗試Li創建的這個腳本（https://jse.li/chrome-filesystem-timing/），具體看看實際的速度差異。
3.使用了新檢測方法的網站
有個壞消息，有些網站已經開始使用Mishra的文件系統配額檢測方法，來檢測訪問者是否處于隱身模式。
微軟Edge開發人員Eric Lawrence曾提到，紐約時報就利用了這種方法來檢測訪問者何時處于隱身模式。
紐約時報網站檢測隱身模式
以下代碼表明他們使用了Mishra的研究腳本。
檢測隱身模式的腳本
我們針對這兩種方法征詢了谷歌的意見，谷歌表示，他們會堅持不懈地“努力糾正任何當前或未來檢測隱身模式的手段。”
原文：https://www.bleepingcomputer.com/news/google/google-chrome-incognito-mode-can-still-be-detected-by-these-methods/
本文為 CSDN 翻譯，轉載請注明來源出處。
【END】
