Как я записал поведение пользователей на сайтах моих конкурентов

1. Мой список пожеланий:
2. Вот что я сделал:
3. Разве сайт, делающий это, не будет оштрафован?
4. Альтернативная Техника
5. Чему я научился?
6. Читатель Предложения
7. От хакерских новостей
8. Дан Петрович

Команда Google разыскала мой тестовый сайт, скорее всего, используя исходный код, которым я поделился, и выполнила индексацию всего домена.

Последний раз Я публично выявил изъян Гугл выдал ручной штраф и обесценил одну оскорбительную страницу. На этот раз уведомления в консоли поиска нет. Сайт полностью удален из их индекса без каких-либо уведомлений.

Я получил много критики за то, как я справился с этим. Многие полагают, что правильный путь - обратиться к Google напрямую с такими недостатками безопасности, вместо того, чтобы открыто об этом писать. Другие предполагают, что я выполнил этот тест неэтично или даже незаконно. Я думаю, должно быть очевидно, что если бы я намеревался использовать этот метод, я бы не писал об этом. С таким большим риском и такой маленькой выгодой, стоит ли это делать на практике? Конечно, нет. Я бы больше беспокоился о тех, кто делает неэтичные вещи и не пишет об этом.

Мой список пожеланий:

а) манипулирование кнопкой возврата в Chrome не должно быть возможным в 2018 году
б) Сайты, использующие эту тактику, должны быть обнаружены и наказаны алгоритмами Google.
c) Если такие результаты все еще присутствуют в результатах поиска Google, они должны быть помечены знаком «эта страница может быть вредна».

Вот что я сделал:

1. Пользователь попадает на мою страницу (реферер: google)
2. Когда они нажимают кнопку «назад» в Chrome, JS отправляет их на мою копию SERP
3. Нажмите на любого конкурента, чтобы перенести их на мое зеркало сайта конкурента (noindex).
4. Теперь я генерирую тепловые карты, скролл-карты, записи экранных взаимодействий и ввод текста.

Интересно, что только около 50% пользователей нашли что-то подозрительное, отчасти из-за того, что я использовал https на всех своих страницах, что является одним из основных факторы доверия в сети ,

Многие пользователи просто рады видеть «замок» в своем браузере.

На данный момент я смог:

• Создание тепловых карт (клики, ходы, глубина прокрутки)
• Запись фактических сессий (движение мыши, щелчки, набор текста)

Я ахнул, когда понял, что на самом деле могу перехватить все отправленные формы и отправить их на свой электронный адрес .

Примечание: я никогда не пробовал этого.

Хлоп!

Разве сайт, делающий это, не будет оштрафован?

Вы бы так подумали.

Я реализовал это в течение очень короткого периода времени (и по этическим причинам снял его почти сразу, осознав, что это может вызвать проблемы). После этого я полностью изменил тему страницы и перенес тестирование на один из моих одноразовых доменов, где он оставался в течение пяти лет и получил очень хороший рейтинг, хотя и для совершенно других поисковых терминов с довольно небольшими объемами поиска. Его новая цель состояла в том, чтобы связываться с людьми теории заговора.

Альтернативная Техника

Вам не нужно подделывать выдачу Google SERP для создания тепловых карт конкурентов, вы можете просто A / B проверить свою целевую страницу против своего клона с помощью платного трафика (например, в социальных сетях). Является ли A / B-тестирование версией этически приемлемой? Я не знаю, но это может привести к юридическим проблемам в зависимости от того, где вы живете.

Чему я научился?

Пользователи редко читают домашнюю страницу «пух» и часто ищут такие вещи, как отзывы, тематические исследования, уровни цен и профили персонала / информацию о компании в поисках доверия и доверия. Один из моих будущих тестов будет состоять в том, чтобы объединить домашнюю страницу с «о нас», «отзывами», «тематическими исследованиями» и «пакетами». Это даст пользователям все, что они действительно хотят на одной странице.

Читатель Предложения

«Я бы добавил всплывающее окно с выходом, чтобы пользователи знали, чему они только что подверглись».
https://twitter.com/marcnashaat/status/1031915003224309760

От хакерских новостей

Привет, бывший Пентестер Матасано здесь.
FWIW, я бы, наверное, сделал что-то подобное, прежде чем я работал в индустрии безопасности. Это простая ошибка, которую вы совершаете по умолчанию: интеллектуальное любопытство не освобождает вас от юридического суждения, и люди в Интернете склонны срываться, если вы делаете что-то незаконное и говорите что-нибудь, кроме «Вы правы, Я ошибался. Я усвоил урок.

Автору. Причина, по которой вы сопоставили шаблон с категорией blackhat вместо категории whitehat / grayhat (grayhat?), Заключается в том, что в индустрии безопасности всякий раз, когда мы обнаруживаем уязвимость, мы проверяем ее, а затем записываем в отчет и сообщаем их сразу. Отчет обычно включает справочную информацию, шаги воспроизведения и рекомендуемые действия. Все это, как правило, клиническое и независимое.

В частности, PoC обычно максимально прост. alert (1) достаточно, например, для демонстрации XSS, а не для реализации полностью работающей операции с cookie. Последнее более забавно, но первое более эффектно.

Одна интересная идея состояла бы в том, чтобы создать поддельного конкурента - например, «VirtualBagel: просто загрузите свои рогалики и наслаждайтесь». Как только он получит рейтинг в Google, запустите этот же эксперимент и посмотрите, сможете ли вы занять более высокое место.

Этот эксперимент продемонстрирует две вещи: (1) уязвимость истории существует, и (2) кто-то может клонировать конкурента и опередить его с этой уязвимостью, тем самым повысив его с sev: low до sev: hi.

Таким образом, чтобы быть ясным, суть проблемы заключалась в запуске эксплойта на живом сайте без их благословения.

Но опять же, не волнуйтесь слишком сильно. Я бы сделал подобные ошибки без формального обучения. Всем легко сказать «О, хорошо, это очевидно», но когда вы чувствуете, что у вас хорошие намерения, это вовсе не очевидно.

Я напоминаю всем, что RTM когда-то нарушал закон из-за подобного интеллектуального любопытства. (Справедливости ради, его эксперимент взорвал половину интернета, но все же.)

Источник: https://news.ycombinator.com/item?id=17826106

Дан Петрович

Дэн Петрович, управляющий директор DEJAN, является самым известным именем Австралии в области поисковой оптимизации. Дэн - веб-автор, новатор и уважаемый спикер индустрии поиска.

Больше сообщений - Веб-сайт

Похожие

Комментарии