VNKiểm tra phát hiện bot sẽ kiểm tra trình duyệt, yêu cầu hoặc phiên để tìm dấu hiệu tự động hóa. Kiểm tra trình duyệt công khai có thể kiểm tra trạng thái WebDriver, đặc điểm không có đầu, thuộc tính trình duyệt, tính nhất quán của dấu vân tay và các tín hiệu JavaScript liên quan. Kết quả của nó chỉ bao gồm các kiểm tra đã chạy. Nó không chứng minh rằng người dùng là con người hoặc dự đoán cách một trang web khác sẽ phân loại phiên.
Giới hạn đó rất dễ bị bỏ lỡ. Người kiểm tra có thể trả về kết quả rõ ràng trong khi trang đích vẫn yêu cầu xác minh. Nó cũng có thể gắn cờ một trình duyệt bình thường vì tiện ích mở rộng đã thay đổi một API. Đọc những gì công cụ quan sát được và những gì nó không thể nhìn thấy.
| Thực tế nhanh chóng | Trả lời |
|---|---|
| Mục đích chính | Tìm dấu hiệu của Tự động hóa trình duyệt hoặc môi trường không nhất quán |
| Kết quả chung | Xóa, đã phát hiện, cảnh báo hoặc không xác định |
| phạm vi thử nghiệm | Phía máy khách, phía máy chủ hoặc luồng được bảo vệ hoàn chỉnh |
| Giới hạn chính | Một kết quả không thể đại diện cho mọi trang web |
Kiểm tra phát hiện bot là gì?
Kiểm tra phát hiện bot là một phần của quy trình Phát hiện bot rộng hơn. Nó thu thập một tập hợp tín hiệu xác định và so sánh chúng với các quy tắc hoặc mô hình. Kết quả có thể chứa danh sách các trận đấu, danh mục hoặc điểm số. Sau đó nó có thể thông báo một hành động chẳng hạn như một thách thức.
Bot nhãn mô tả hoạt động tự động. Nó không giải thích sự ủy quyền hoặc ý định. Trình thu thập thông tin tìm kiếm, trình theo dõi thời gian hoạt động và tập lệnh nhồi thông tin xác thực đều được tự động hóa. Họ làm những công việc rất khác nhau. Một thử nghiệm tốt sẽ báo cáo các dấu hiệu mà không coi mọi ứng dụng khách tự động đều là hành vi lạm dụng.
Kiểm tra Bot trình duyệt kiểm tra những gì?
Trình kiểm tra trình duyệt công cộng tập trung vào dữ liệu mà mã trang có thể quan sát được. Hầu hết bao gồm một số nhóm sau đây.
| Kiểm tra nhóm | Các ví dụ phổ biến | Trận đấu có thể gợi ý điều gì | Giới hạn chính |
|---|---|---|---|
| Tự động tiết lộ | navigator.webdriver và trạng thái WebDriver | Phần mềm có thể điều khiển trình duyệt | Tự động hóa được phê duyệt có thể hiển thị trạng thái tương tự |
| Hiện vật thời gian chạy | Đặc điểm không có đầu, thuộc tính cửa sổ bất thường, tiện ích mở rộng tự động hóa | Trình duyệt có thể được cài đặt | Phiên bản trình duyệt và khung thay đổi thường xuyên |
| Tính nhất quán của trình duyệt | Hỗ trợ tác nhân người dùng, nền tảng, API, màn hình, ngôn ngữ và cảm ứng | Một số giá trị được báo cáo không khớp với nhau | Một thiết lập thực tế hiếm hoi cũng có thể trông không nhất quán |
| Tín hiệu kết xuất | Chi tiết về Canvas, WebGL, AudioContext và GPU | Các giá trị có thể tiết lộ các mẫu hoặc sự không nhất quán | Một kết quả bất thường không chứng minh được sự lạm dụng |
| Bối cảnh mạng | IP, ASN, trạng thái proxy và đặc điểm kết nối | Yêu cầu đến thông qua một tuyến đường cụ thể hoặc ngăn xếp ứng dụng khách | Một trang có thể không thấy tất cả dữ liệu phía máy chủ |
| Hành vi | Thời gian, số lần nhấp chuột, tiêu điểm, điều hướng và các hành động lặp lại | Phiên khác với luồng dự kiến | Một trang thử nghiệm có rất ít ngữ cảnh |
Tiêu chuẩn WebDriver định nghĩa navigator.webdriver là cách để trình duyệt báo cáo điều khiển từ xa. Nó có ý nghĩa rõ ràng, nhưng nó chỉ là một sự thật. Nó không nói gì về lý do tự động hóa đang chạy.
Một số công cụ kiểm tra cũng so sánh dấu vân tay trình duyệt rộng hơn. Họ có thể tìm thấy tác nhân người dùng Windows được ghép nối với hành vi đồ họa hoặc cảm ứng không phù hợp với thiết bị mà trình duyệt khai báo. Dấu vân tay WebGL có thể thêm chi tiết đồ họa vào so sánh đó.
Ba loại thử nghiệm Phát hiện bot
Cụm từ kiểm tra bot có thể đề cập đến ba công việc. Xác định loại trước khi đánh giá kết quả của nó.
- Trình kiểm tra phía khách hàng công khai
Trang này chạy JavaScript trong trình duyệt hiện tại. Nó có thể kiểm tra các API được hiển thị, các điểm đánh dấu tự động hóa, kết quả hiển thị và tính nhất quán. Nó không thể đọc nhật ký riêng tư hoặc lịch sử tài khoản của nền tảng đích.
- Kiểm tra lưu lượng truy cập phía máy chủ
Thử nghiệm này kiểm tra các tiêu đề, lịch sử IP, tốc độ yêu cầu, mẫu phiên và Vân tay TLS. Kết quả của nó phụ thuộc vào đường cơ sở và điểm cuối lưu lượng truy cập.
- Thử nghiệm dòng chảy được bảo vệ từ đầu đến cuối
Thử nghiệm này bao gồm quy trình đăng nhập, đăng ký, thanh toán hoặc API thực tế mà người thử nghiệm có quyền đánh giá. Nó có thể bao gồm các tín hiệu trình duyệt, mạng, phiên, tài khoản và doanh nghiệp. Kết quả thuộc về dòng chảy đó và thời điểm đó.
Cách chạy Kiểm tra phát hiện bot một cách chính xác
Một bài kiểm tra hữu ích bắt đầu bằng một câu hỏi. Bạn đang kiểm tra mức độ hiển thị của WebDriver, tính nhất quán của trình duyệt hay liệu quy trình làm việc được phê duyệt có kích hoạt quy tắc bảo mật không? Đừng trộn lẫn những mục tiêu này.
Sử dụng một quy trình đơn giản:
- Chạy một trình duyệt được cập nhật, chưa sửa đổi làm đường cơ sở.
- Ghi lại phiên bản trình duyệt, tiện ích mở rộng, mạng và thời gian kiểm tra.
- Thay đổi một biến tại một thời điểm trong môi trường thử nghiệm được ủy quyền.
- Chạy lại cùng một bài kiểm tra và so sánh các lần kiểm tra riêng lẻ.
- Giữ cảnh báo và các kết quả chưa biết tách biệt khỏi các kết quả trùng khớp đã được xác nhận.
- Chỉ xác thực quy trình làm việc hoàn chỉnh trên dịch vụ mà bạn sở hữu hoặc có quyền kiểm tra.
Quá trình này hỗ trợ QA Tự động hóa trình duyệt vì nó cho biết thay đổi nào đã ảnh hưởng đến kết quả. Nó không biến người kiểm tra công khai thành người hướng dẫn để đánh bại sự kiểm soát của trang web khác.
Cách đọc kết quả Kiểm tra phát hiện bot
Các công cụ khác nhau sử dụng các nhãn khác nhau. Đọc chi tiết trước khi tin tưởng vào tiêu đề.
| Kết quả | Sự diễn giải cẩn thận | Điều đó không chứng minh được |
|---|---|---|
| Rõ ràng hoặc giống con người | Quá trình kiểm tra đã hoàn tất không tìm thấy tín hiệu tự động hóa có độ tin cậy cao | Một người điều khiển trình duyệt |
| Bị phát hiện hoặc giống bot | Một hoặc nhiều quy tắc khớp với tín hiệu tự động hóa hoặc nhất quán | Hoạt động này là độc hại |
| Cảnh báo hoặc không nhất quán | Một giá trị hiếm, bị thay đổi hoặc không khớp với giá trị khác | Trình duyệt giả mạo hoặc không an toàn |
| Không rõ hoặc chưa được kiểm tra | Một phép kiểm tra chưa được thực hiện hoặc chưa trả về đủ bằng chứng | Trình duyệt đã vượt qua |
Tên của một trường cũng có thể gây nhầm lẫn. Kiểm tra JavaScript có thể báo cáo thành công vì tập lệnh của nó đã hoàn tất. Điều đó không có nghĩa là người truy cập được phân loại là con người. Phát hiện JavaScript trên Cloudflare thể hiện sự khác biệt này trong tài liệu công khai của mình. Kết quả JavaScript của nó đóng góp bằng chứng, trong khi các tín hiệu khác vẫn có thể ảnh hưởng đến điểm bot cuối cùng.
Tại sao trình duyệt bình thường có thể thất bại trong bài kiểm tra Bot?
Các trình duyệt thông thường không giống nhau. Tiện ích mở rộng có thể xóa API hoặc viết lại tiêu đề. Các công cụ bảo mật có thể cố ý làm giảm dữ liệu dấu vân tay. Proxy công ty có thể xóa hoặc viết lại tiêu đề yêu cầu. Các trình duyệt trong ứng dụng và công cụ trợ năng có thể hoạt động khác với Chrome dành cho máy tính để bàn.
Một con cờ có những điểm mù riêng. Cơ sở dữ liệu của nó có thể tụt hậu so với bản phát hành trình duyệt. Tập lệnh có thể không tải được hoặc trình chặn nội dung có thể dừng một lần kiểm tra.
Giả sử một trình duyệt bình thường nhận được cảnh báo vì tiện ích mở rộng thay đổi API chia sẻ. Vô hiệu hóa tiện ích mở rộng sẽ thay đổi kết quả. Sự so sánh đó cho thấy phần mở rộng đã ảnh hưởng đến tín hiệu. Nó không cho thấy người dùng ban đầu là bot.
AWS đưa ra cảnh báo tương tự trong Hướng dẫn kiểm soát bot. Các công cụ giám sát, trình duyệt trong ứng dụng và ứng dụng khách không đạt tiêu chuẩn có thể cần được xem xét hoặc đưa ra ngoại lệ rõ ràng.
Một bài kiểm tra Bot vượt qua không thể chứng minh được điều gì
Kết quả đạt có nghĩa là các bước kiểm tra đã hoàn thành không báo cáo tín hiệu nhất quán hoặc tự động hóa được đề cập. Nó không thể chứng minh bất kỳ điều nào sau đây:
- Một người đang điều khiển trình duyệt
- Một tác vụ tự động có quyền
- Trang web mục tiêu nhìn thấy các tín hiệu tương tự
- Lịch sử tài khoản trông bình thường
- Mô hình giao dịch có rủi ro thấp
- Phiên bản trình duyệt hoặc trình kiểm tra tiếp theo sẽ trả về kết quả tương tự
- Phiên này sẽ tránh được thử thách, giới hạn tỷ lệ, đánh giá hoặc chặn
Hãy coi người kiểm tra công khai như một công cụ chẩn đoán chứ không phải một giấy chứng nhận tàng hình. Dịch vụ thực sự kết hợp nhiều bối cảnh hơn. Điểm bot Cloudflare là một ví dụ công khai. Họ sử dụng các tính năng yêu cầu, đặc điểm phiên, tín hiệu trình duyệt, chẩn đoán và học máy thay vì một thử nghiệm trình duyệt.
Kiểm tra bot so với CAPTCHA, Điểm Bot và Kiểm tra dấu vân tay
Những thuật ngữ này thường xuất hiện cùng nhau nhưng chúng trả lời các câu hỏi khác nhau.
| Thuật ngữ | Câu hỏi chính | Đầu ra điển hình |
|---|---|---|
| Kiểm tra phát hiện bot | Thử nghiệm này có quan sát thấy các dấu hiệu liên quan đến tự động hóa không? | Trận đấu, nhãn hoặc điểm số |
| CAPTCHA hoặc thử thách | Khách hàng có thể cung cấp thêm bằng chứng hoặc hoàn thành bước nâng cao không? | Đạt, không đạt hoặc mã thông báo |
| Điểm bot | Khả năng yêu cầu này được tự động hóa trong một hệ thống như thế nào? | Số lượng hoặc loại rủi ro |
| Kiểm tra dấu vân tay trình duyệt | Những tín hiệu nào của trình duyệt và thiết bị có thể nhìn thấy hoặc không nhất quán? | Giá trị, hàm băm hoặc cảnh báo |
| Phát hiện bot | Nền tảng nên phân loại hoạt động bằng cách sử dụng tất cả ngữ cảnh có sẵn như thế nào? | Lớp được sử dụng bởi chính sách bảo mật |
CAPTCHA không phải là một hệ thống phát hiện hoàn chỉnh. Đó là một cách để thu thập thêm bằng chứng khi yêu cầu cần được xem xét kỹ lưỡng hơn. Hướng dẫn OWASP về quản lý bot đề xuất các biện pháp kiểm soát theo lớp và phản hồi được đo lường. Cách tiếp cận đó giúp giảm nguy cơ chặn người dùng hợp pháp sau một tín hiệu yếu.
Kiểm tra Phát hiện bot và Cấu hình trình duyệt
Hồ sơ trình duyệt có thể giữ cài đặt trình duyệt, cookie, bộ nhớ, trạng thái đăng nhập, cài đặt proxy và cấu hình vân tay trong môi trường có thể tái sử dụng. Người kiểm tra có thể quan sát một số tín hiệu bị lộ. Nó không thể nhìn thấy mọi tài khoản, máy chủ hoặc quy tắc kinh doanh được bên thứ ba sử dụng.
MoreLogin cung cấp hồ sơ có thể sử dụng lại, quyền của nhóm và hỗ trợ tự động hóa. Giá trị ở đây là sự tách biệt và đánh giá rõ ràng hơn. Hồ sơ không quyết định liệu nền tảng khác có phân loại hoạt động là con người, tự động, được phê duyệt hay rủi ro hay không.
Đối với các nhóm quản lý một số môi trường được ủy quyền, trình duyệt nhiều tài khoản có thể tách biệt dữ liệu phiên và cài đặt theo hồ sơ. Kết quả kiểm tra rõ ràng vẫn là ảnh chụp nhanh, không phải là thẻ thông thường.
Bài học chính
- Kiểm tra phát hiện bot chỉ có ý nghĩa khi phạm vi của nó rõ ràng.
- Một tín hiệu tự động hóa không thiết lập được ý định.
- Hãy coi cảnh báo và điều chưa biết là những kết quả khác nhau.
- Trình kiểm tra công khai không thể tái tạo mọi tín hiệu của trang đích.
- Hồ sơ trình duyệt quản lý môi trường chứ không phải quyết định của bên thứ ba.
Câu hỏi thường gặp về Kiểm tra phát hiện bot
Kiểm tra phát hiện bot là gì?
Kiểm tra phát hiện bot kiểm tra trình duyệt, yêu cầu hoặc phiên để tìm các dấu hiệu liên quan đến tự động hóa. Nó có thể trả về kết quả phù hợp với quy tắc, danh mục hoặc điểm số. Kết quả chỉ áp dụng cho các tín hiệu và quy tắc được sử dụng trong bài kiểm tra đó.
Kiểm tra bot trình duyệt kiểm tra những gì?
Nó có thể kiểm tra trạng thái WebDriver, các đặc điểm không có đầu, thuộc tính trình duyệt, tạo phẩm thời gian chạy, tín hiệu hiển thị và tính nhất quán của giá trị. Một số công cụ thêm kiểm tra mạng. Không người kiểm tra công khai nào có thể xem toàn bộ hệ thống rủi ro riêng tư của một trang web khác.
Tại sao trình duyệt bình thường của tôi trông giống như bot?
Tiện ích mở rộng, cài đặt quyền riêng tư, proxy công ty, phiên bản trình duyệt mới hoặc tập lệnh kiểm tra không thành công có thể tạo ra kết quả bất thường. So sánh trường bị lỗi với đường cơ sở rõ ràng trước khi thay đổi môi trường.
Kiểm tra phát hiện bot có thể sai không?
Đúng. Quá trình kiểm tra có thể gắn cờ một trình duyệt hợp pháp hoặc bỏ sót một ứng dụng khách tự động. Nó cũng có thể trả lại quá ít bằng chứng. Đó là lý do tại sao các báo cáo hữu ích hiển thị các kiểm tra riêng lẻ thay vì chỉ dựa vào một phán quyết.
Việc vượt qua bài kiểm tra bot có nghĩa là tôi không thể bị phát hiện phải không?
KHÔNG. Thẻ chỉ mô tả các bước kiểm tra đã chạy vào thời điểm đó. Một trang web khác có thể sử dụng các tín hiệu trình duyệt, mạng, phiên, tài khoản và hành vi khác nhau.
Kiểm tra phát hiện bot có giống với CAPTCHA không?
KHÔNG. Một thử nghiệm bot quan sát và phân loại tín hiệu. CAPTCHA là một thử thách yêu cầu khách hàng cung cấp thêm bằng chứng. Nó có thể là một phần của quá trình phát hiện và phản hồi rộng hơn.
Tự động hóa trình duyệt có luôn độc hại không?
KHÔNG. Các dịch vụ kiểm tra, giám sát, trợ năng và quy trình công việc đã được phê duyệt đều có thể sử dụng tự động hóa. Một nền tảng có thể xác định hoạt động là tự động trong khi vẫn cho phép hoạt động đó tuân theo các quy tắc của nó.
MoreLogin có đảm bảo kết quả đạt không?
KHÔNG. MoreLogin có thể giúp quản lý các hồ sơ trình duyệt, cài đặt, bộ nhớ, proxy và quy trình làm việc nhóm riêng biệt. Nền tảng mục tiêu kiểm soát các quy tắc phát hiện và quyết định cuối cùng của riêng nó.
