المتصفح مقطوع الرأس

يستخدم المتصفح مقطوع الرأس محرك العرض نفسه الذي يستخدمه المتصفح العادي، مثل Chromium أو WebKit، لكنه يحذف النافذة الظاهرة على الشاشة. يقوده نص برمجي برمجيًا لتحميل الصفحات وتنفيذ JavaScript والنقر على العناصر وقراءة الـ DOM الناتج. ولأنه يشغّل المحرك الكامل، فبإمكانه التعامل مع تطبيقات الصفحة الواحدة والمحتوى الديناميكي الذي لا يستطيع عميل HTTP بسيط التعامل معه.

هذه القوة هي ما يجعل المتصفحات مقطوعة الرأس جذابة للمهاجمين. فبإمكانها تنفيذ JavaScript الذي تعتمد عليه نصوص البصمة والتحدي، فتهزم بذلك الدفاعات التي تفترض أن العميل المبرمَج لا يستطيع تشغيل كود داخل الصفحة. وعلى نطاق واسع، يمكن لجهاز واحد أن يقود عدة نسخ مقطوعة الرأس بالتوازي، تتظاهر كل منها بأنها زائر مستقل.

غير أن البيئات مقطوعة الرأس تترك آثارًا قابلة للاكتشاف. فقد كانت تاريخيًا تكشف عن علامات واضحة مثل رمز HeadlessChrome في وكيل المستخدم أو راية navigator.webdriver. وحتى عندما تُرقَّع هذه، تبقى تناقضات أكثر دقة: واجهات متصفح برمجية مفقودة أو مُصطنَعة، وإضافات غائبة، وعرض غير معتاد للرسوميات والخطوط، ومستشعرات عتاد مفقودة، وسلوك توقيت يختلف عن جلسة تفاعلية.

يحاول مشغّلو حركة المرور مقطوعة الرأس الخبيثة محو هذه الآثار عبر ترقيع الخصائص وتزييف القيم وإضافة مدخلات بشرية مزيفة. لذا يركّز الاكتشاف على الاتساق الداخلي، متحققًا مما إذا كانت الإشارات المستقلة الكثيرة التي يكشفها المتصفح تتوافق فعلًا فيما بينها، إذ يصعب الحفاظ على تزوير متسق ذاتيًا بالكامل عبر كل سطح.