Button Stealer olayı

 (anatolyzenkov.com)
1 puan yazan GN⁺ 2024-07-25 | 1 yorum | WhatsApp'ta paylaş
  • Button Stealer, kullanıcının ziyaret ettiği web sitelerinden düğmeleri tek tek “çalıp” biriktiren bir tarayıcı uzantısıdır
  • Web’i her zamanki gibi kullanmanız yeterlidir; düğme koleksiyonu otomatik olarak büyüyen, daha çok şaka amaçlı bir araçtır
  • Ürünün karakteri eğlenceli, işe yaramaz ve ücretsiz bir uzantı olarak tanıtılır
  • Herkese açık göstergeler olarak Chrome Web Store’da 4.9/5, Product Hunt’ta #3 Product of the Day, ↑492 Featured Product gösterilir
  • Yerelde çalışır ve verileri dışarı göndermez; bu nedenle kullanıcı verileri gizli kalır

Web sitesi düğmelerini toplama yöntemi

  • Button Stealer, kullanıcının açtığı web sitelerinden bir düğmeyi “çalan” bir tarayıcı uzantısıdır
  • Kullanıcının ayrıca bir şey yapmasına gerek yoktur; normal çevrimiçi etkinlikler sürerken çalınan düğmelerin koleksiyonu büyür
  • Ürünün kendisi eğlenceli, işe yaramaz ve ücretsiz bir araç olarak tanıtılır

Açık rozetler ve göstergeler

  • Chrome Web Store

    • Puan: 4.9/5
    • Featured Badge gösterilir

  • Product Hunt

    • #3 Product of the Day
    • ↑492 Featured Product

Gizlilik yaklaşımı ve kurulum

  • Button Stealer yerelde çalışır
  • Verileri hiçbir yere göndermediği için kullanıcı verileri gizli kalır
  • Sayfada Button Stealer yükleme düğmesi sunulur

İlgili okumalar

1 yorum

 
GN⁺ 2024-07-25
Hacker News yorumları

  • Bu “zararsız” uzantının sorunu, manifest’te host_permissions kullanmak zorunda kalması.
    Ziyaret ettiğiniz her web sayfasında fiilen her şeyi yapabilir ve verileri kazıyabilir.
    Bir uzantı geliştiricisi olarak ben bunu istemem. Pratik faydası olmayan, sadece eğlencelik böyle bir uzantının geniş yetkiler istemesi riskli.

    • Bunu o izinler olmadan yapmanın bir yolu görünmüyor.
      GitHub’da kodu kontrol ettikten sonra uzantıyı yerel olarak kurarsanız, ileride kötü niyetli bir değişiklik gelmesi riskinden kaçınabilirsiniz.
    • Uzantılar için ayrı bir ağ isteği izni olmaması tuhaf.
      Ziyaret ettiğim tüm sayfaların DOM’una erişim izni versem bile, dışarı sızdırmanın bir yolu yoksa sorun olmazdı.
      1. Uzantının popüler olmasını bekle
      2. Kötü niyetli bir şirkete sat
      3. Tarayıcıya reklam/casus yazılım/kötü amaçlı yazılım girsin
    • İzinlerin bir şekilde daha ayrıntılı hâle getirilmesi gerekiyor.
      Bence doğru yaklaşım, kodun geri kalanından yalıtılmış bir fonksiyon koymaya izin vermek ve güvenilir bir üçüncü tarafa bu fonksiyonun işlevini incelemesi için ödeme yapmak olurdu.
      Bu durumda o fonksiyon yalnızca 1) web sitesinin HTML’ine erişebilir, 2) düğmeleri bulabilir ve 3) düğmeyi oluşturan şeyi döndürebilir.
      Böylece güven kurumu tarafından yazılan izin açıklaması da “Bu uzantı web sitesindeki düğmeleri kopyalamak istiyor” gibi doğru olabilir.
      Buna DEWISOTT bilişimi demek istiyorum: dışına yazıldığı gibi tam olarak çalışması anlamında.
      O fonksiyona dokunmadığınız sürece uzantıyı günde 1000 kez güncelleyebilirsiniz.
    • Orijinal yazının yazarı bu yöntem olmadan uzantıyı nasıl yapabilir ki?

  • Bu, uygulama versiyonunda bir oltalama e-postası gibi.
    Sırf görsel eğlence için, ziyaret ettiğiniz her web sitesindeki her şeye erişmek için izin istemek demek.

    • Bonzi Buddy havası var.

  • Bu tür uzantıları kurmak konusunda endişeliyim.
    Çünkü biri geliştiriciye yüklü para teklif edip satın alabilir ve sonra daha az eğlenceli amaçlarla kullanabilir.
    Ek izin gerekip gerekmediğini bilmiyorum ama en azından mevcut content script zaten “[https:///\](https://*/\)” için çalışıyor.

  • Standart WebExtensions API yerine Chrome’a özel API kullanmanın özel bir nedeni var mı merak ediyorum.
    Web uzantılarını denemeyi düşünüyordum; standart API’nin tarayıcıya özel API’lere kıyasla pratikte ne gibi kısıtları olduğunu bilmek isterim.

    • Farklar var ama temel işlevlerin çoğu örtüşüyor.
      Firefox, kendi yaptığım uzantıda kullandığım chrome.* API çağrılarıyla uyumlu.
    • Chrome, WebExtensions API’yi desteklemiyor.

  • GitHub: https://github.com/anatolyzenkov/button-stealer

    • Şimdi bir de en çok toplayanlar için liderlik tablosu eklemek güzel olurdu.
      Koda baktım, zararsız görünüyor. Ama Chrome Extension Store’a yüklenen kodun aynı kod olduğunu doğrulamanın bir yolu var mı bilmiyorum.

  • https://adnauseam.io/ içindeki tıklanmış reklamlar görünümünü https://adnauseam.io/img/adnauseam_vault.png hatırlatıyor.

    • Kendi ekranıma bakmak da güzel, reklamverenin maliyetinin birikmesini görmek de güzel.
      Modern sorunlar modern çözümler gerektirir.

  • Fikir hoşuma gitti ama erişim izinleri biraz korkutucu.
    İdeal olarak bir bookmarklet olarak yeniden yapılabilir gibi. Ancak düğme HTML parçalarını dosyaya kaydetmesi gerektiği için, Blob ile ilgili bir dolambaçlı yolla indirilebilir hâle getirmek gerekebilir.

  • Eskiden benzer amaçlı bir araç yapmıştım.
    Ama düğme değil CSS/SCSS çalıyordu ve uzantı değil CLI aracıydı. GitHub’da coalio/rfscss olarak bulabilirsiniz.

  • Düğmeleri kolayca yeniden kullanabilmek için HTML/CSS mi kaydediyor, yoksa görüntü olarak mı kaydediyor merak ediyorum.
    İlkiyse oldukça kullanışlı, ikincisiyse eğlenceli ama daha az kullanışlı olur. Görüntüyse, tüm düğmeleri gösteren sayfadan çıkarmanın ne kadar zor olduğunu da merak ediyorum.

  • UI/UX tasarım ilhamı bulmak için gayet iyi bir yöntem gibi geliyor.