Amazon.com: Produktempfehlungen lassen sich manipulieren
Buchempfehlungen nach Besuch einer manipulierten Webseite (Bild: Amazon.com/Screenshot: Golem.de)

Amazon.com Produktempfehlungen lassen sich manipulieren

Mit einem einfachen Trick können Amazons Produktempfehlungen manipuliert werden. Der jeweilige Kunde bekommt davon nichts mit.

Anzeige

Eine manipulierte Webseite reicht aus, um Amazon.com vorzugaukeln, dass ein Kunde Interesse an einem bestimmten Produkt respektive einer Produktgruppe hat. Der Wirtschaftsinformatiker Felix Middendorf zeigt in seinem Blog Diskurswelt, wie das geht: Mit einem versteckten iFrame wird ein HTTP-GET-Request auf eine Produktwebseite ausgeführt.

In diesem Fall ist es ein Buch, "How to win friends and influence people" von Dale Carnegie. Amazon geht davon aus, dass der Nutzer an dem Buch interessiert ist und zeigt es beim nächsten Besuch der Homepage oder der Empfehlungsliste mit an. "Ich überlasse mögliche bösartige Anwendungen eurer Vorstellung", schreibt Middendorf.

  • Nur ein Test - mit verstecktem iFrame, das eine Produktwebseite von Amazon.com abruft... (Screenshot: Golem.de)
  • ... und die Empfehlung - das Buch links - findet sich dann auf der Amazon.com-Homepage. (Screenshot: Golem.de)
Nur ein Test - mit verstecktem iFrame, das eine Produktwebseite von Amazon.com abruft... (Screenshot: Golem.de)

Amazon.com könnte zur Gegenwehr den Response-Header der X-Frame-Options auf SAMEORIGIN einstellen, schlägt Middendorf vor. Moderne Browser erlaubten Webseiten nicht mehr, Webseiten zu integrieren. Bei Amazon.de sei das aber der Fall, anders als bei Amazon.com.

In den Kommentaren unter Middendorfs Blogeintrag zweifelt aber der neuseeländische Entwickler Rich Dougherty an, dass eine solche Cross-Site Request Forgery (CSRF) nur verhindert werden könnte, wenn der Server die Anfrage ganz ignoriert. Es reiche nicht, wenn der Browser die Antwort auf die Anfrage ignoriere. Der Server habe sie dann schon bearbeitet. Eine strikte CSRF sei bei einem Empfehlungssystem aber dennoch nicht sinnvoll, da der Nutzer dann durch Passwortabfragen gestört werden müsste.


Freitagsschreib... 30. Mär 2012

So kann man's auch sehen :-D

Freitagsschreib... 30. Mär 2012

"Clientseitig" und "Abhilfe" schließt sich im Userumfeld generell aus. Die einzige...

samy 29. Mär 2012

"Amazon.com könnte zur Gegenwehr den Response-Header der X-Frame-Options auf SAMEORIGIN...

Kommentieren



Anzeige

  1. Scrum Master (m/w)
    über HRM CONSULTING GmbH, Berlin
  2. Junior Projektmanager (m/w) IT-Projekte/IT-Prozesse
    NRW.BANK, Düsseldorf
  3. Gruppenleiter Quality Assurance Systems eSystems (m/w)
    CSL Behring GmbH, Marburg
  4. Mitarbeiter (m/w) Software - Support und Lizenzmanagement
    REALTECH AG, Walldorf

 

Detailsuche


Folgen Sie uns
       


  1. Shuttle DSA2LS

    Minirechner auf Android-Basis mit RS-232-Schnittstelle

  2. Nur Jailbreak betroffen

    Schadsoftware infiziert 75.000 iPhones

  3. Test Star Wars Commander

    Die dunkle Seite der Monetarisierung

  4. Probleme in der Umlaufbahn

    Galileo-Satelliten nicht ideal abgesetzt

  5. Telefonie und Internet

    Bundesweite DSL-Störungen bei O2

  6. iPhone 5

    Apple bietet für einzelne Geräte einen Akkutausch an

  7. Leistungsschutzrecht

    Kartellamt weist Beschwerde gegen Google zurück

  8. Projekt DeLorean

    Microsofts Game-Streaming rechnet 250 ms Latenz weg

  9. Digitale Agenda

    Bitkom fordert komplette Nutzung des 700-Megahertz-Bandes

  10. Watch Dogs

    Gezielt Freunde hacken



Haben wir etwas übersehen?

E-Mail an news@golem.de



Die Paten des Internets: Oliver Samwer - die "Execution-Sau"
Die Paten des Internets
Oliver Samwer - die "Execution-Sau"
  1. Samwer United Internet kauft großen Anteil von Rocket Internet
  2. Oliver Samwer "Sehr viele Unternehmen haben wir zu früh verkauft"
  3. Verivox Tarifvergleichsplattform Toptarif von Konkurrenten gekauft

Alienware Alpha ausprobiert: Fast lautlose Steam-Machine mit eigenem Windows-UI
Alienware Alpha ausprobiert
Fast lautlose Steam-Machine mit eigenem Windows-UI
  1. Deutschland E-Sport ist mehr als eine Randerscheinung
  2. Crytek Ryse für PC mit 4K-Videos belegt über 120 GByte
  3. Wirtschaftssimulation Golem Labs entwickelt die Gilde 3

IT und Energiewende: Intelligenztest für Stromnetze und Politik
IT und Energiewende
Intelligenztest für Stromnetze und Politik

    •  / 
    Zum Artikel