2669

Мегафон подмешивает рекламу на сайты

Приветствую всех!

Что такое Пикабу знаю несколько дней. Поэтому прошу прощения если оформлю пост не по местным традициям.

И так:

Я веб-разработчик и создаю сайты себе и людям. Сегодня, во время публикации очередного проекта, я заметил одну штуку: Мегафон вставляет рекламные и отслеживающие скрипты на сайтах, которые вы посещаете! Конечно, это не новость и, я уверен, здесь это неоднократно обсуждалось. Но мне удалось чуть подробнее узнать как именно он это делает:

Мегафон подмешивает рекламу на сайты

И так, что тут происходит:

Я зашел на свой сайт, который я уже опубликовал в интернете (проект не анонсирован официально, поэтому некоторые его данные пришлось скрыть).

И что я вижу: мой блокировщик рекламы в браузере выявил мегафоновские скрипты и заблокировал их. Скрипты мегафона банально добавляются в код страницы и выполняются. Эти скрипты смотрят что за сайт, какая тематика...; так же они смотрят на вас (какой у вас браузер и т.д.).

Таким образом, Мегафон собирает информацию в частности о:

- Браузере, Операционная системе;
- Модели смартфона, если вы зашли на сайт с него;
- Понятное дело, что как об абоненте, Мегафон знает о вас всё (паспортные данные и т.д.). На основе данных о посещенных вами сайтах можно составлять предложения по тарифам, услугам, опциям. Так же можно продавать эту информацию другим компаниям, чтобы они давали вам наиболее подходящие для вас рекламу и услуги;

Собственно, помимо сбора данных на вас, Мегафон еще пытается впихнуть в Ваш сайт рекламные блоки и иметь с вашего сайта прибыль (вместо вас).

Блокировщик рекламы показал мне, с каких адресов грузятся скрипты мегафона и по информации о домене из Whois я выяснил, что домен (адрес mobilebanner.ru) пренадлежит Мегафону.

В общем, встраиваемая реклама Мегафона в посещаемые сайты является достаточно распространенной проблемой среди его абонентов. Многие люди на это жалуются и еще немногие пытаются с этим что-то делать. Однако, как стало ясно, Мегафон имеет с чужих сайтов деньги и никто ничего с этим сделать не смог.

Спасибо за внимание!
Если всё с пикабу пойдет, буду дальше новые интересности постить.

Вы смотрите срез комментариев. Показать все
253
Автор поста оценил этот комментарий

Настраивайте https.

раскрыть ветку (85)
85
Автор поста оценил этот комментарий
в процессе. Домен новый, Let`s encrypt пока не видит. Благодарю за совет
раскрыть ветку (67)
44
Автор поста оценил этот комментарий

В смысле, разве в LE есть ограничение на возраст домена?

раскрыть ветку (25)
52
Автор поста оценил этот комментарий
ограничений на возраст, разумеется, нет. Просто DNS-записи обновляются не сразу, надо ждать
раскрыть ветку (24)
39
Автор поста оценил этот комментарий

делай обязательно. и в апаче, енжинксе делай редирект с 80 на 443 с кодом 301, чтоб только https было

раскрыть ветку (14)
8
Автор поста оценил этот комментарий
Ещё можно HSTS настроить, чтобы браузер даже не пытался слать чтото на 80 после первого посещения.
раскрыть ветку (7)
3
Автор поста оценил этот комментарий

насколько я знаю, первый раз все равно будет запрос на 80 порт, если явно не указать https в адресе, чего не делают 99% людей. поэтому и нужен редирект. Это потом уже, когда настраиваешь https вводишь директиву hsts, но новых людей на сайте никто не отменял, не все приходят с поисковика, кто то на бумажке записал адрес, друг сказал, и если не прописать https и тупо закрыть 80 порт работать не будет.

раскрыть ветку (6)
2
Автор поста оценил этот комментарий
Я же написал "ещё", а не "или", т.е. "в дополнение к". Ну и "первое посещение" как раз и подразумевает первый запрос к http
раскрыть ветку (5)
Автор поста оценил этот комментарий

так нет смысла делать редирект на сервере и в iptables. до сервера пакет тогда не дойдет. а вариант "или" тоже вреден по вышеописанной причине. оставляешь 80 порт открытым, редиректишь на 443 и все.

раскрыть ветку (4)
1
Автор поста оценил этот комментарий

HSTS это заголовок, например, в nginx просто добавляешь

add_header Strict-Transport-Security "max-age=31536000" always;

и готово

https://ru.wikipedia.org/wiki/HSTS


К iptables это не имеет отношения. Добавив к дефолтной конфигурации для nginx от Letsencrypt HSTS и прописав CAA запись в DNS можно получить A+ на ssllabs

раскрыть ветку (3)
0
Автор поста оценил этот комментарий

про iptables я имел ввиду ответ чуть выше "iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 443" нафиг не надо.

раскрыть ветку (2)
3
Автор поста оценил этот комментарий

а еще надежнее

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 443
раскрыть ветку (5)
29
Автор поста оценил этот комментарий

Так делать нельзя. Будет bad request.

Пришел клиент с plain запросом в ssl

раскрыть ветку (3)
23
Автор поста оценил этот комментарий
Сатану призываете?)
раскрыть ветку (1)
10
Автор поста оценил этот комментарий
Наоборот, мантры для запечатывания Сатаны.
1
Автор поста оценил этот комментарий

И правда, счас проверил, не взлетает... EMPTY RESPONSE

0
Автор поста оценил этот комментарий

Кто ж так делает, ирод

6
Автор поста оценил этот комментарий

Мб через CloudFlare прокинуть?

ещё комментарии
1
Автор поста оценил этот комментарий

Я уж не знаю, чем вы пользуетесь, но у меня let's encrypt видел обновления менее чем через минуту после изменения IP адреса.

раскрыть ветку (5)
0
Автор поста оценил этот комментарий

от ttl зависит

раскрыть ветку (4)
0
Автор поста оценил этот комментарий
Только если LE уже спрашивал у dns какой у вас ip. Если это первый раз - то кэша нет
раскрыть ветку (3)
0
Автор поста оценил этот комментарий

там ещё есть ограничения на количество запросов. вообщем то есть варианты когда le будет ждать до 5 часов

раскрыть ветку (2)
0
Автор поста оценил этот комментарий
В общем-то
раскрыть ветку (1)
0
Автор поста оценил этот комментарий

либо-нибудь

2
Автор поста оценил этот комментарий

Можно настроить cloud flare, они бесплатны

раскрыть ветку (4)
4
Автор поста оценил этот комментарий

Есть риск попасть под блокировку, увы ркн все ещё существует.

раскрыть ветку (3)
2
Автор поста оценил этот комментарий

Существует, но и cf тоже не маленькие

раскрыть ветку (2)
3
Автор поста оценил этот комментарий

Не маленькие, но домен резолвится всего в несколько ip, попади один в блокировку - сайт будет через раз открываться.

раскрыть ветку (1)
1
Автор поста оценил этот комментарий

Вы же понимаете что такая блокировка затронет достаточно ощутимую часть рунета, как это уже было один раз и ее тогда оперативно снимали. Ими пользуются крупные российские проекты

2
Автор поста оценил этот комментарий

Вот простенькая статья по настройке https через LE. М.б. поможет. https://eax.me/lets-encrypt/

раскрыть ветку (16)
2
Автор поста оценил этот комментарий

простенькая статья начинается с "sudo add-apt-repository".

а что делать тем, у кого просто виртуальный хостинг?

раскрыть ветку (14)
0
Автор поста оценил этот комментарий

Не понял (правда) вопроса. У вас есть ssh доступ на виртуальный сервер? Какая там ОСь?

раскрыть ветку (13)
0
Автор поста оценил этот комментарий

я к тому, что нужно быть админом на хостинге, а это у многих не так.

раскрыть ветку (8)
1
Автор поста оценил этот комментарий

стоп-стоп! можно же послать запрос к доустановке необходимого ПО. В частности, попросить добавить источники для вашей машины в sources.lst, или как он там. а потом - попросить сделать apt install. Мне казалось, что адекватные админы согласятся.

раскрыть ветку (7)
2
Автор поста оценил этот комментарий

ага, а еще в идеальном мире была бы просто кнопочка в веб-морде хостинга: "добавить сертификат letsencrypt и создать задачу автопробления".

но сейчас у всех только акция: https за 33 рубля в месяц, и скидка не сертификат - всего за 11111 рублей в год.

раскрыть ветку (6)
1
DELETED
Автор поста оценил этот комментарий

Типа вот так? А, ну да, у нас же тенге.. были бы рубли, тоже наверное просили бы:-)

Иллюстрация к комментарию
раскрыть ветку (1)
0
Автор поста оценил этот комментарий

вы в идеальном мире, ура!

1
Автор поста оценил этот комментарий
ага, а еще в идеальном мире была бы просто кнопочка в веб-морде хостинга: "добавить сертификат letsencrypt и создать задачу автопробления".

Так и есть. Хостинг, например, vultr от €5 в месяц — да-да, VPS.

Ставим, например, убунту, на нее, например, vestacp.

DNS заводим на Cludflare, проксить вовсе не обязательно, зато обновления записей на CF происходят в считанные минуты.

При создании доменов LetsEncrypt подбрасывается в 2 клика, только сначала создать домен, а потом уже включать LE для него.

Могу еще штук 5 напримеров подкинуть, но ИМХО и так хватает. Приведенной выше схемой пользуюсь два года — косяки есть, но я доволен.

раскрыть ветку (1)
0
Автор поста оценил этот комментарий

хостинг, например, мастерхост

0
Автор поста оценил этот комментарий

Я не знал. Это жесть какая-то. Особенно "автопродление". Хотя, цена за "сертификат" тоже радует.

0
Автор поста оценил этот комментарий

с таким ценником проще, как мне кажется, по мануалам поднять свой сервак на nginx где-нибудь на digitalocean (не реклама, просто пример), и там сразу: и сервак, и прокси, и впн - да хоть ноду i2p :)

0
Автор поста оценил этот комментарий

Не путай виртуальный хостинг и ВПС. На виртуальном хостинге тебе дают только возможность загрузить папку сайта по фтп или через панель, выбрать версию пхп и подтянуть базу.

раскрыть ветку (3)
1
DELETED
Автор поста оценил этот комментарий
Иллюстрация к комментарию
0
Автор поста оценил этот комментарий

Ох ты, а я думал, что после pornhub-а меня ничем не удивить. а, оказывается, есть еще и "виртуальный хостинг")

раскрыть ветку (1)
0
Автор поста оценил этот комментарий

Ну собственно, покупая именно хостинг сайта, ты покупаешь виртуальный хостинг. ТО есть, на его экземпляре апача/нжинкса на одном айпи крутится несколько сайтов разных людей. Покупая ВПС ты покупаешь айпи и полноценную виртуалку, где сам можешь развернуть свой экземпляр веб сервера. И уже там плодить виртуальные хосты если надо.

1
Автор поста оценил этот комментарий
HTTPS уже настроен. Но, в любом случае, спасибо
2
Автор поста оценил этот комментарий

А можно ли выебать мегафон за это? Встраиваться в чужие сайты как-то неправильно.

раскрыть ветку (1)
1
DELETED
Автор поста оценил этот комментарий
Выебать Алишера? Да он сам кого хочешь выебет, с его деньгами и активами
ещё комментарии
Автор поста оценил этот комментарий
Что? На то чтобы настроить letsencrypt сразу после покупки домена у меня ушло от силы минут 20 и то потому что я это делал в первый раз. Вот пример (там нихуя нет, но однажды что-то будет) idkravitz.me
8
Автор поста оценил этот комментарий

+1

3
DELETED
Автор поста оценил этот комментарий

не просто https, а еще и hsts врубить надо.

раскрыть ветку (12)
1
DELETED
Автор поста оценил этот комментарий

Это уже не так важно в контексте проблемы с мегафоном, https же лостаточно, чтобы они трафик не смогли модифицировать

раскрыть ветку (11)
Автор поста оценил этот комментарий

Хах, московское метро вспомнить?

раскрыть ветку (10)
0
DELETED
Автор поста оценил этот комментарий

Вспомни. Там обходили https и встраивали что-то в страницу?

Или они реализовали protocol downgrade attack?

раскрыть ветку (9)
1
Автор поста оценил этот комментарий

Если я не ошибаюсь, они подменяли сертификат

раскрыть ветку (8)
0
DELETED
Автор поста оценил этот комментарий

Эм... это как? Корневые сертификаты вбиты в устройствах, проверка сертификата сайта производится по цепочке от корневого. Что они подменяли то?

раскрыть ветку (7)
1
Автор поста оценил этот комментарий

MitM

раскрыть ветку (6)
0
Автор поста оценил этот комментарий
Поясните, пожалуйста, как влезет человек посередине, если корневой сертификат прописан в устройстве.
раскрыть ветку (2)
3
Автор поста оценил этот комментарий

МТС, например, вот так подкидывает.
А вообще, погуглите "mitm мегафон", или "mitm московское метро", там много интересного контента

Иллюстрация к комментарию
Иллюстрация к комментарию
раскрыть ветку (1)
0
Автор поста оценил этот комментарий

А, ну так не страшно.  Явно же видно кривой сертификат.

0
DELETED
Автор поста оценил этот комментарий

хм... ок, да, что-то я матчасть не учил :)


Но это ж совсем пиздец и чистой воды атака. Как за такое можно не посадить половину сотрудников конторки, что такое делает?

раскрыть ветку (2)
2
Автор поста оценил этот комментарий

Забота о гражданах, к примеру)

https://medium.com/@ivlad/%D0%B3%D0%BE%D1%81%D1%83%D0%B4%D0%...

раскрыть ветку (1)
0
Автор поста оценил этот комментарий

Такие заботливые идут сразу нахуй. VPN сейчас поднимается одной командой без многочасового курения манов, генерации сертификатов в ручную, подписывания их и т.п. Всем известный скрипт от nyr https://github.com/Nyr/openvpn-install или чуть более замороченый его форк на безопасности https://github.com/angristan/openvpn-install. Хотя для дома за глаза первый вариант, если ты конечно не производишь Центральные Процессоры в промышленных масштабах или не занят взломом пентагона.

1
Автор поста оценил этот комментарий
Не читайте ниже, там все на эльфийском.
Автор поста оценил этот комментарий

Зашёл лайкнуть этот коммент)

Автор поста оценил этот комментарий

Собеседовался я както с одним товарищем на программиста.. так вот они вставляли рекламу про увеличение члена и всякую "нужно лишь один раз в день....". Говорит в пару проводных провайдеров эту хню вставлял..

Вы смотрите срез комментариев. Чтобы написать комментарий, перейдите к общему списку