Buchempfehlungen nach Besuch einer manipulierten Webseite
Buchempfehlungen nach Besuch einer manipulierten Webseite (Bild: Amazon.com/Screenshot: Golem.de)

Amazon.com Produktempfehlungen lassen sich manipulieren

Mit einem einfachen Trick können Amazons Produktempfehlungen manipuliert werden. Der jeweilige Kunde bekommt davon nichts mit.

Anzeige

Eine manipulierte Webseite reicht aus, um Amazon.com vorzugaukeln, dass ein Kunde Interesse an einem bestimmten Produkt respektive einer Produktgruppe hat. Der Wirtschaftsinformatiker Felix Middendorf zeigt in seinem Blog Diskurswelt, wie das geht: Mit einem versteckten iFrame wird ein HTTP-GET-Request auf eine Produktwebseite ausgeführt.

In diesem Fall ist es ein Buch, "How to win friends and influence people" von Dale Carnegie. Amazon geht davon aus, dass der Nutzer an dem Buch interessiert ist und zeigt es beim nächsten Besuch der Homepage oder der Empfehlungsliste mit an. "Ich überlasse mögliche bösartige Anwendungen eurer Vorstellung", schreibt Middendorf.

  • Nur ein Test - mit verstecktem iFrame, das eine Produktwebseite von Amazon.com abruft... (Screenshot: Golem.de)
  • ... und die Empfehlung - das Buch links - findet sich dann auf der Amazon.com-Homepage. (Screenshot: Golem.de)
Nur ein Test - mit verstecktem iFrame, das eine Produktwebseite von Amazon.com abruft... (Screenshot: Golem.de)

Amazon.com könnte zur Gegenwehr den Response-Header der X-Frame-Options auf SAMEORIGIN einstellen, schlägt Middendorf vor. Moderne Browser erlaubten Webseiten nicht mehr, Webseiten zu integrieren. Bei Amazon.de sei das aber der Fall, anders als bei Amazon.com.

In den Kommentaren unter Middendorfs Blogeintrag zweifelt aber der neuseeländische Entwickler Rich Dougherty an, dass eine solche Cross-Site Request Forgery (CSRF) nur verhindert werden könnte, wenn der Server die Anfrage ganz ignoriert. Es reiche nicht, wenn der Browser die Antwort auf die Anfrage ignoriere. Der Server habe sie dann schon bearbeitet. Eine strikte CSRF sei bei einem Empfehlungssystem aber dennoch nicht sinnvoll, da der Nutzer dann durch Passwortabfragen gestört werden müsste.


Freitagsschreib... 30. Mr 2012

So kann man's auch sehen :-D

Freitagsschreib... 30. Mr 2012

"Clientseitig" und "Abhilfe" schließt sich im Userumfeld generell aus. Die einzige...

samy 29. Mr 2012

"Amazon.com könnte zur Gegenwehr den Response-Header der X-Frame-Options auf SAMEORIGIN...

Kommentieren



Anzeige

  1. Senior Technical Director Internet Backbone (m/w)
    Deutsche Telekom Technik GmbH, Münster
  2. Prozessmanager (m/w)
    Versicherungskammer Bayern, München
  3. IT Anwendungsentwickler / Supporter (m/w) MES Umfeld
    Endress+Hauser Wetzer GmbH + Co. KG, Nesselwang
  4. Inhouse Sharepoint Consultant (m/w)
    ElringKlinger AG, Dettingen an der Erms

Detailsuche


Hardware-Angebote
  1. MSI-Cashback-Produkte bei Alternate
  2. Sandisk 16-GB-USB-3.0-Stick
    8,99€
  3. ARLT-Sale
    (Restposten, Rücksendungen und Gebrauchtware)

Weitere Angebote


Folgen Sie uns
       


  1. Ifa-Ausblick im Video

    Notebook mit Wasserkühlung, ein Smartphone und eine Uhr

  2. Samsung Gear S2 im Hands on

    Drehbarer Ring schlägt Touchscreen

  3. Mobiles Internet

    Vodafone überbrückt Warten auf DSL-Anschluss mit Surfstick

  4. Alienware X51 R3

    Mini-PC setzt auf interne WaKü und externe Grafikkarten-Box

  5. Cross-Site-Scripting

    Netflix stellt Tool zum Auffinden von Sicherheitslücken vor

  6. Asynchronous Shader

    Nvidias Grafikkarten soll eine wichtige DX12-Funktion fehlen

  7. Huawei G8

    Neues Smartphone mit Fingerabdrucksensor für 400 Euro

  8. Pioneer XDP-100R

    Android-basierter Hi-Res-Audio-Player

  9. Verbraucherschützer

    Nicht über neue Hardware bei All-IP-Umstellung informiert

  10. Let's Play

    Machinima muss bezahlte Youtube-Videos kennzeichnen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Windows 95 im Test: Endlich lange Dateinamen!
Windows 95 im Test
Endlich lange Dateinamen!
  1. Tool Microsoft Snip erzeugt Screenshots mit Animationen und Sprachmemos
  2. 20 Jahre im Einsatz Lebenserhaltende Maßnahmen bei Windows 95
  3. Vor dem Start von Windows 10 Steigender Marktanteil für Windows 7

Windows 10 IoT ausprobiert: Finales Windows auf dem Raspberry Pi 2
Windows 10 IoT ausprobiert
Finales Windows auf dem Raspberry Pi 2
  1. Orange Pi PC Bastelrechner für 15 US-Dollar
  2. Odroid C1+ Ausnahmsweise teurer, dafür praktischer und mit mehr Sound
  3. PiUSV+ angetestet Überarbeitete USV für das Raspberry Pi

Rare Replay im Test: Banjo, Conker und mehr im Paket
Rare Replay im Test
Banjo, Conker und mehr im Paket
  1. Elite Bundle Xbox One startet ein bisschen schneller
  2. Microsoft Warum Quantum Break nicht für Windows erscheint
  3. Xbox One DVR-Funktion erscheint vorerst nicht in Deutschland

  1. Re: Teurer, geringere Reichweite, geringere...

    ChMu | 01:27

  2. Re: VoIP-Umstellung gestaltet sich meist als Drop...

    TomBe | 01:21

  3. Re: versteh ich nicht

    andi_lala | 01:16

  4. Re: Gibst inzwischen eine Lösung für Hausnotrufe?

    TomBe | 01:12

  5. Re: Eigentlich bin ich Nvidia Fan...

    Clarissa1986 | 01:07


  1. 22:52

  2. 19:00

  3. 18:14

  4. 18:09

  5. 17:34

  6. 16:42

  7. 16:33

  8. 16:04


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel