हेडलेस ब्राउज़र

एक हेडलेस ब्राउज़र सामान्य ब्राउज़र जैसे ही रेंडरिंग इंजन का उपयोग करता है, जैसे Chromium या WebKit, लेकिन स्क्रीन पर दिखने वाली विंडो को छोड़ देता है। एक स्क्रिप्ट इसे प्रोग्राम के ज़रिए पेज लोड करने, JavaScript चलाने, एलिमेंट पर क्लिक करने और परिणामी DOM को पढ़ने के लिए नियंत्रित करती है। चूँकि यह पूरा इंजन चलाता है, इसलिए यह single-page applications और डायनामिक सामग्री को संभाल सकता है जिसे एक साधारण HTTP क्लाइंट नहीं संभाल सकता।

यही शक्ति हेडलेस ब्राउज़रों को हमलावरों के लिए आकर्षक बनाती है। वे उस JavaScript को चला सकते हैं जिस पर fingerprinting और चुनौती स्क्रिप्ट निर्भर करती हैं, इसलिए वे उन बचावों को हरा देते हैं जो यह मानते हैं कि एक स्क्रिप्टेड क्लाइंट पेज के भीतर कोड नहीं चला सकता। बड़े पैमाने पर, एक ही मशीन समानांतर में कई हेडलेस इंस्टेंस चला सकती है, जिनमें से हर एक एक स्वतंत्र विज़िटर होने का दिखावा करता है।

हालाँकि, हेडलेस एनवायरनमेंट पहचानने योग्य निशान छोड़ते हैं। ऐतिहासिक रूप से वे स्पष्ट मार्कर प्रकट करते थे, जैसे user agent में एक HeadlessChrome टोकन या एक navigator.webdriver flag। तब भी जब इन्हें पैच कर दिया जाता है, अधिक सूक्ष्म असंगतियाँ बनी रहती हैं: गायब या नकली बनाए गए ब्राउज़र API, अनुपस्थित प्लगइन, ग्राफ़िक्स और फ़ॉन्ट की असामान्य रेंडरिंग, गायब हार्डवेयर सेंसर, और ऐसा टाइमिंग व्यवहार जो एक इंटरैक्टिव सेशन से भिन्न होता है।

दुर्भावनापूर्ण हेडलेस ट्रैफ़िक के संचालक इन निशानों को मिटाने की कोशिश करते हैं — प्रॉपर्टीज़ को पैच करके, मूल्यों को नकली बनाकर और फ़र्ज़ी मानवीय इनपुट जोड़कर। इसलिए पहचान आंतरिक संगति पर ध्यान केंद्रित करती है, यह जाँचते हुए कि ब्राउज़र द्वारा प्रकट किए गए कई स्वतंत्र सिग्नल वास्तव में एक-दूसरे से सहमत हैं या नहीं, क्योंकि हर सतह पर पूरी तरह आत्म-संगत जालसाज़ी बनाए रखना कठिन है।