Oracle軟體工程師Igor Kromin在自己的部落格揭露,他意外發現網域註冊與網頁託管商GoDaddy,會在沒有經過使用者同意之下,將JavaScript腳本注入到託管網站中。

Igor Kromin之所以發現GoDaddy預設對網頁注入JavaScript腳本,是因為當他試圖解決自己營運的網站,其管理介面所遭遇的問題,在檢查瀏覽器控制臺時,意外看到了一個JavaScript映射檔案載入錯誤,這是一個Igor Kromin從未看過的檔案,他提到,這代表這個JavaScript檔案確實是透過他的網站載入。

Igor Kromin試圖找出JavaScript的來源,但並沒有在檔案系統發現可疑的檔案,原始碼和樣板也都沒問題,但是他的所有網頁,在</html>結束標籤前都被注入了<script>。後來Igor Kromin才發現,原來是網站主機GoDaddy將JavaScript注入他的網頁。

他找到GoDaddy網站的說明文件,內容提到,這個腳本是為了收集真實使用者指標(Real User Metrics),以用來提升效能,在美國使用者會自動啟用,雖然Igor Kromin並不在美國,但他的網站託管在GoDaddy的美國資料中心,因此也自動啟用了這項服務,所有網頁都會預設注入GoDaddy的腳本。而GoDaddy的網站說明文件也承認,該JavaScript腳本有可能會減慢,或是造成網站錯誤。

Igor Kromin提到,使用者有辦法可以關閉GoDaddy真實使用者指標服務,只要點擊主機控制台中的幫助我們功能,選擇彈出對話框的退出選項,就能停止GoDaddy對網頁插入腳本,每24小時只能進行一次加入或是退出動作。Igor Kromin表示,他不反對網頁主機供應商監控伺服器運作,但應該以被動的態度執行這件事,而GoDaddy對客戶網頁注入腳本的行為過於激進,破壞與客戶之間的信任。

這件事在網路論壇Hacker News也引發熱烈討論,即便GoDaddy有說明文件說明真實使用者指標服務,但仍有不少網友對此感到驚訝,並表達了負面的意見。

熱門新聞

Advertisement