nicht angemeldet
Script im IMG TAG ( img src = script.php )
Hallo erst mal ;-),
Viele Scripte (vor allem Counter) nutzen
die Möglichkeit im Image Tag ein Script einzusetzen.
<img src="script.php">
Das hat natürlich den Vorteil, dass ein Script
in beliebigen HTML Dateien genutzt werden kann,
ohne PHP oder Javascript.
Aber...
Dafür ist der IMG TAg ja eigentlich nicht vorgesehen,
was bedeutet das in Hinsicht auf zukünftige Standards ?
Und vor allem funktioniert das problemlos in jedem Browser ?
Meine eigentlich Frage ist also:
Soll ich diese Methode verwenden oder kann das mal
zu Problemem führen ?
Gruss Nikki
-
<img src="script.php">
Das hat natürlich den Vorteil, dass ein Script
in beliebigen HTML Dateien genutzt werden kann,
ohne PHP oder Javascript.Aber...
Dafür ist der IMG TAg ja eigentlich nicht vorgesehen,Das ist nicht richtig. <img> fügt eine Grafik ein, nicht mehr, nicht weniger. Aus Sicht des Browsers steht da nur eine URL, die abfragt werden kann. Ob die URL nun script.jpg, script.php, bla.fasel oder dingsbums lautet, ist ihm restlos wurscht, genauso wie die Frage, woher der Server die Grafikdaten hat, aus einer Datei, einer Datenbank, von einem Programm/Skript, was auch immer.
Und vor allem funktioniert das problemlos in jedem Browser ?
Natürlich. Solange die URL eine Grafik liefert, ist alles in bester Ordnung.
Soll ich diese Methode verwenden
Wenn Du möchtest.
oder kann das mal zu Problemem führen ?
Nein.
-
Hallo AWM,
danke für deine Hilfe.Natürlich. Solange die URL eine Grafik liefert, ist alles in bester Ordnung.
und wenn nicht ?
Also ich gebe kein Bild zurück, klappt aber trotzdem.
Gruss
Nikki-
hallo
Also ich gebe kein Bild zurück, klappt aber trotzdem.
gib doch einfach ein 1px*1px transparentes gif zurück, dann gehtst du dem ganzen aus dem weg.
wenn du wirklich sicher gehen willst und die anti-spionage tools aus [pref:t=78401&m=453228] auschalten willst, so nen den php skript einfach in bild.gif und sag deinem webserver dass es ein skript ist.gruss
--
no strict;
no warnings;
Selbstcode: (_*_) ^_^ ( . ) ( . ) :-(bla) -
Natürlich. Solange die URL eine Grafik liefert, ist alles in bester Ordnung.
und wenn nicht ?
Also ich gebe kein Bild zurück, klappt aber trotzdem.
Wie Christian bereits ausführte, zeigt der Browser "kaputte" (dazu zählen auch nicht vorhandene) Bilddaten einfach nicht an. Da aber stattdessen meistens ein Fehlerbild gezeigt wird, solltest Du zur Sicherheit vielleicht besser doch eine kleine Grafik liefern, ein transparentes 1x1-GIF-Bild nimmt nur wenige Bytes in Anspruch und tut niemandem weh. So eine Datei findest Du auf vielen Webseiten (ich denke, auch hier in SelfHTML, sie werden im Tabellenlayout als Lückenbüßer eingesetzt), Du kannst sie mit den Zeilen
header("Content-Type: image/gif");
readfile("transe.gif");ausliefern. Die erste Zeile sagt dem Browser, daß diese Antwort eine GIF-Grafik enthält, die zweite liefert die eigentlichen Daten aus der GIF-Datei.
Achte darauf, nichts anderes auszugeben, auch keine Leerzeilen; das ist nicht schwer, Dein Skript muß lediglich im ersten Byte mit <?php beginnen und als allerletztes mit ?> aufhören.Dies alles unter dem Vorbehalt, daß auf Serverseite aktivierende Techniken versteckten Grafiken vorzuziehen sind, soweit möglich. Blinde Seitenzähler, wie in Deinem Beispiel, bzw. die Funktion dahinter, würde ich beispielsweise grundsätzlich auf Basis der Protokolle, die der Webserver selbständig anfertigt, realisieren. Aber das mag Ansichtssache sein und natürlich vom Einzelfall abhängen.
-
-
-
Hallo Nicole,
Aber...
Dafür ist der IMG TAg ja eigentlich nicht vorgesehen,Wieso nicht? Hmmm? Folgendes: Wenn der Browser auf <img src="script.php"> stößt, dann macht der Browser genau das gleiche, als wenn er auf <img src="bild.png"> stoßen würde: er fordert diese Resource vom Server an. Er fragt als den Server, ob er nicht script.php (resp. bild.png) haben könnte. Wenn script.php jetzt a) einen Content-Type: image/irgendwas Header schickt und b) als Ausgabe auch ein gültiges Bild, dann kann ein Browser nicht unterscheiden, ob sich hinter script.php ein Bild oder eine Script versteckt, das ein Bild erzeugt, oder ein tatsächliches Bild.
Das hier z.B.:
<img src="http://www.christian-seiler.de/temp/xweb.php" border="0" alt="">
(http://www.christian-seiler.de/temp/xweb.php)Das ist *kein* PHP Script, sondern einfach ein Bild, das die Endung PHP bekommen hat. Ich habe dem Webserver jedoch gesagt, er soll es als Bild (Content-Type: image/gif) ausliefern und schon zeigen es die Browser auch alle an.
Und hier:
<img src="http://www.christian-seiler.de/temp/xweb2.php" border="0" alt="">
(http://www.christian-seiler.de/temp/xweb2.php)Das ist ein PHP-Script, das das Bild einliest und es wieder ausgibt. Für einen Browser gibt es keine Möglichkeit, beide Fälle zu unterscheiden. Einem Browser ist es auch egal. Alles, was ein Browser will, ist ein gültiges Bild und das bekommt er ja.
Zusammengefasst: Ein Browser bekommt von PHP oder sonstigem serverseitigem Kram nichts mit. Er kennt nur HTML, CSS, JavaScript, GIF, JPEG, PNG, etc.
Viele Grüße,
Christian-
Hallo Christian,
Das ist ein PHP-Script, das das Bild einliest und es wieder ausgibt. Für einen Browser gibt es keine Möglichkeit, beide Fälle zu unterscheiden. Einem Browser ist es auch egal. Alles, was ein Browser will, ist ein gültiges Bild und das bekommt er ja.
danke für Deine Antwort. Nein bei mir bekommt der Browser
kein Bild zurück, mir gehts nur darum PHP CODE auszuführen.
Das nicht vorhandene Bild zeige ich nicht an pixelgrösse 1.Kann aber dennoch nichts passieren laut deiner Aussage,
denke ich , oder ?Gruss
Nikki-
Hallo Nicole,
danke für Deine Antwort. Nein bei mir bekommt der Browser
kein Bild zurück,Naja, dann denkt der Browser halt: "Bild defekt" - und zeigt es nicht an. Ganz einfach. :)
Siehe http://www.christian-seiler.de/temp/xweb3.gif (der Inhalt sind nur ein paar nichtssagende Bytes) - das wird auch nicht angezeigt:
»<img src="http://www.christian-seiler.de/temp/xweb3.gif" border="0" alt="">«
Viele Grüße,
Christian -
Hallo Nicole,
danke für Deine Antwort. Nein bei mir bekommt der Browser
kein Bild zurück, mir gehts nur darum PHP CODE auszuführen.
Das nicht vorhandene Bild zeige ich nicht an pixelgrösse 1.Kann aber dennoch nichts passieren laut deiner Aussage,
denke ich , oder ?So etwas nennt man Webwanze (webbug). Es ist ein Spionagemittel und es gibt, wie gegen Werbebanner, mit Sicherheit Filter gegen soetwas. Ich würde das nicht einsetzen.
http://www.rz.fh-ulm.de/projects/datsusi/R0304_6.html#3.3viele Grüße
Axel
-
So etwas nennt man Webwanze (webbug). Es ist ein Spionagemittel und es gibt, wie gegen Werbebanner, mit Sicherheit Filter gegen soetwas. Ich würde das nicht einsetzen.
http://www.rz.fh-ulm.de/projects/datsusi/R0304_6.html#3.3Dieser Webbug-Abschnitt ist mit Abstand das Lächerlichste, was mir in letzter Zeit über den Weg gelaufen ist.
"Ein Webbug kann folgende Informationen ermitteln:
* IP-Adresse des Users
* URL der Website
* URL des Webbug-GIFs
* Zeitpunkt, zu dem die Website aufgerufen wurde
* Browsertyp und Betriebssystem des Anwenders
* Cookie-Informationen
* HTTP-Referer
"Sensationell. Nicht nur, daß das Teil alles "ausspioniert", was die meisten Webserver standardmäßig sowieso in ihren Protokollen stehen haben, nein, man bekommt auch noch die URL der eigenen Webseite und, festhalten, die URL der Skriptgrafik. Sollte ich irgendwann man an Demenz erkranken und vergessen, wo ich meine Seiten und Skripte abgelegt habe, wird mir das eine Hilfe sein. Vielen Dank.
-
Hallo,
Dieser Webbug-Abschnitt ist mit Abstand das Lächerlichste, was mir in letzter Zeit über den Weg gelaufen ist.
Sensationell. Nicht nur, daß das Teil alles "ausspioniert", was die meisten Webserver standardmäßig sowieso in ihren Protokollen stehen haben, nein, man bekommt auch noch die URL der eigenen Webseite und, festhalten, die URL der Skriptgrafik.Du hast das Prinzip der Spionage via Webbanner und Webbugs nicht verstanden. Es geht darum, dass Web-Anbieter diese im Auftrag der "Informationssammler" auf ihren Seiten platzieren. Nochmal im Klartext: Die Wanze steht auf vielen Webseiten. Jedesmal, wenn Du eine dieser Seiten anforderst, wird eben auch die Wanze angefordert und übermittelt die genannten Informationen. Damit kann ein Profil über eine IP (weniger schlimm) und im Zusammenhang mit Cookies auch über einen Nutzer des Client-Rechners erstellt werden. Welche Seiten ruft er auf, welche Interessen hat er also? Wann ist er online? Welche Systeme und Browser benutzt er? ...
Immer noch lächerlich?Bei der konkreten Frage ging es auch nichtmal um diese Probleme, sondern darum, dass Filter, die eben diese Webwanzen erkennen und _nicht_ anfordern sollen, eben Nicoles 1px-Bild _auch_ nicht anfordern werden, weil es für sie in die Kategorie "Webwanze" fallen muss. Damit kann Nicole sich nicht darauf verlassen, dass ihr Script _immer_ ausgeführt wird.
viele Grüße
Axel
-
Dieser Webbug-Abschnitt ist mit Abstand das Lächerlichste, was mir in letzter Zeit über den Weg gelaufen ist.
Nochmal im Klartext: Die Wanze steht auf vielen Webseiten. Jedesmal, wenn Du eine dieser Seiten anforderst, wird eben auch die Wanze angefordert und übermittelt die genannten Informationen. Damit kann ein Profil über eine IP (weniger schlimm) und im Zusammenhang mit Cookies auch über einen Nutzer des Client-Rechners erstellt werden.
Du hast den Text nicht richtig gelesen, er beginnt mit der Webbug-Begründung "Da viele Internet-Nutzer Cookies mittlerweile meiden". Von einem "Zusammenhang mit Cookies" kann hier also gerade _nicht_ gesprochen werden.
Bleibt die Nutzerverfolgung über eine IP. Die ändert sich aber bei vielen, wenn nicht gar den meisten Anwendern mehr oder weniger regelmäßig. Damit bekommt man höchstens raus, daß Besucher von forum.de.selfhtml.org auch gerne heise.de anschauen und Mozilla nutzen, aber das dürfte kaum jemanden wirklich ernsthaft stören (wie Du ja selbst schreibst), niemanden wundern und von der Tatsache, daß dieser pöse Spion dann sowohl forum.de.selfhtml.org als auch heise.de zu seinen pösen Komplizen zählen müsste, wollen wir mal ganz schweigen.
Persönliche Nutzungsprofile kann man damit in jedem Fall nicht erstellen.Weiterhin: Welchen Sinn sollte das haben? An die genannten Daten kommt man auch ohne Bilder ran, einfach indem man die Protokolle der Webserver abgrast, denn dort steht rein standardmäßig ausnahmslos alles drin, was diese Bilder auch liefern, und diese Form der Datenspeicherung ist in der Masse noch nichtmal zu verhindern. Daran stört sich der Autor des Textes aber erstaunlicherweise nicht, er verliert nicht ein Wort darüber.
Vorteil der Bildermethode gegenüber den Protokollen ist natürlich, daß die Bilder direkt und ohne Aufwand für den Originalwebserver an den pösen Spion melden. Diese zeitnahe Auswertung ist bei Methoden, die keine dauerhaften Nutzungsprofile erlauben, natürlich immens wichtig, aber: Warum werden denn Profile erstellt? Antwort: Um Werbung gezielt ausliefern zu können. Und wie liefert man Werbung aus? Über Werbegrafiken. Aber warum sollte man ein Spionagebildchen nutzen, wenn man dasselbe genauso gut mit der eigentlichen Werbegrafik erledigen kann? Andersrum gesehen, wer Werbegrafiken sowieso filtert, braucht auch nicht mit Spionagebildern belästigt zu werden. Und last but not least: Was hindert diese Leute daran, anstatt eines 1x1-Bildchens eine reguläre Grafik der Webseite zu nutzen?
Wenn also dieser Fall gefiltert wird, dann kann das nicht auf Basis der Grafikgröße passieren, sondern nur auf der der URL. Das berührt dann aber die ursprüngliche Thematik dieses Threads überhaupt nicht mehr.Meines Erachtens nach ist der Text wieder mal einer von der Sorte, die fürchterlich im Dreck wühlen, aber keine Substanz haben. Ist auch nicht verwunderlich, stammt er doch aus einem Büchlein namens "Internet-Sicherheit für Einsteiger".
Der einzig akzeptable Satz ist, daß diese Technik auch in Mails und dergleichen eingesetzt wird. Dort ist es in der Tat problematisch, aber auch dann gilt wieder: Wozu mit 1x1 und Verstecken aufhalten, wenn man gleich normale Grafiken nutzen kann.Immer noch lächerlich?
Ja, schlimmer noch: Je mehr ich darüber nachdenke, desto größer wird meine eh schon vorhandene Abneigung gegen diese "..für Einsteiger"-Bücher.
Bei der konkreten Frage ging es auch nichtmal um diese Probleme, sondern darum, dass Filter, die eben diese Webwanzen erkennen und _nicht_ anfordern sollen, eben Nicoles 1px-Bild _auch_ nicht anfordern werden, weil es für sie in die Kategorie "Webwanze" fallen muss. Damit kann Nicole sich nicht darauf verlassen, dass ihr Script _immer_ ausgeführt wird.
Das ist richtig und war auch nicht Punkt meiner Kritik.
-
Hallo,
Persönliche Nutzungsprofile kann man damit in jedem Fall nicht erstellen.
Gut. Machen wir ein Worst-Case-Beispiel.
Sei profiler.com der Spion, welcher natürlich mit anderen Anbietern (xyz.com, abc.de, def.de ... usw.) zusammenarbeiten muss. Die Wanzen platzieren sich ja nicht von allein. Seien weiterhin die Zeitpunkte X, Y und Z nahe beieinanderliegend.Auf einer Seite der xyz.com befindet sich ein Formular mit Benutzerangaben (Name, E-Mail). Dieses wird ausgefüllt und abgesendet. Immer noch alles per ganz normalem CGI. Es wird, natürlich nur bei erfolgreichem Ausfüllen des Formulars, eine Antwortseite generiert, auf der auch ein WebBug[2] mit Verbindung zu profiler.com und Name und E-Mail im Query-Anhang der URL mit generiert wird[1]. Dieser gibt nun profiler.com die Header-Informationen, die wir ja kennen und Name und E-Mail im Query-Teil. Die Datenbank bei profiler.com kennt nun:
IP zum Zeitpunkt X,
Seitenbesuch bei xyz.com zum Zeitpunkt X,
Name und E-Mail-Adresse.
Uuups ;-))Als nächstes besuchen wir eine Seite von abc.de. Dort gibt es auch eine Wanze[2] von profiler.com. Diese füttert die Datenbank mit:
IP zum Zeitpunkt Y,
Seitenbesuch bei abc.de zum Zeitpunkt Y.Nun auf zu def.de. Dort gibt es auch eine Wanze[2] von profiler.com. Diese füttert die Datenbank mit:
IP zum Zeitpunkt Z,
Seitenbesuch bei def.de zum Zeitpunkt Z.Eine Abfrage der Datenbank, sortiert nach IP und Zeitpunkt bringt das Profil zusammen:
Seitenbesuch bei xyz.com zum Zeitpunkt X,
Name und E-Mail-Adresse,
Seitenbesuch bei abc.de zum Zeitpunkt Y,
Seitenbesuch bei def.de zum Zeitpunkt Z.Außer xyz.com gibt es natürlich auch noch uvw.com, rst.com ... mit Formularen und CGI-genierierten Wanzen. Je mehr, umso eindeutiger wird das Profil für Name und E-Mail-Adresse.
[1] Natürlich könnte xyz.com die Infos auch beim Submit des Formulars gleich an profiler.com weiterreichen. So eine Wanze ist aber ein kleines Stück, leicht anzupassender Code, der natürlich als Service von profiler.com an xyz.com und viele andere ausgeliefert wird und ohne viel Aufwand seitens xyz.com, uvw.com ... implementiert werden kann.
[2] Das geht natürlich auch mit einer normalen Grafik. Diese würde allerdings das Design von xyz.com, abc.de ... beeinflussen und der Code könnte nicht einfach von profiler.com geliefert werden.
viele Grüße
Axel
-
Persönliche Nutzungsprofile kann man damit in jedem Fall nicht erstellen.
Gut. Machen wir ein Worst-Case-Beispiel.
Eine Abfrage der Datenbank, sortiert nach IP und Zeitpunkt bringt das Profil zusammen:
Seitenbesuch bei xyz.com zum Zeitpunkt X,
Name und E-Mail-Adresse,
Seitenbesuch bei abc.de zum Zeitpunkt Y,
Seitenbesuch bei def.de zum Zeitpunkt Z.Außer xyz.com gibt es natürlich auch noch uvw.com, rst.com ... mit Formularen und CGI-genierierten Wanzen. Je mehr, umso eindeutiger wird das Profil für Name und E-Mail-Adresse.
Dieses Szenario ist anwendbar, aber ernsthaft:
1. Es setzt bei allen Webseitenbetreibern ein Gutteil an krimineller Energie voraus (Datenschutzgesetze). Solche Seiten findest Du am ehesten im Bereich der Porno- oder Warez-Anbieter. Wer sich da rumtreibt und persönliche Daten angibt, ist selbst schuld. Da kann man ja genauso gut jedem nächstbesten Crackjunkie vom Hauptbahnhof die Adresse der eigenen Villa geben.
2. Mit dieser Vorgehensweise auf ein brauchbares, persönliches Profil zu kommen, bedarf schon eines sehr großen Teilnehmerkreises. Die Wahrscheinlichkeit, auf zwei Teilnehmerseiten zu treffen, ist für sich alleine schon eher gering (wir reden hier nicht von Doubleclick & Co), die Wahscheinlichkeit, daß jemand auf mehreren Teilnehmerseiten seine Mailadresse hinterlässt _und_ mit der IP, mit der er die Adresse hinterlassen hat, auch noch Dutzendweise andere Seiten besucht, geht meines Erachtens nach gegen Null.
3. Ich orakel mal, daß die einzige Erkenntnis von dem Format "hans@wu.rst besucht gerne Pornoseiten" sein dürfte. Dazu brauche ich aber kein weit verspanntes "Spionagenetzwerk", da reicht ein einziges, auf einer Pornoseite abgeschicktes Formular.
[2] Das geht natürlich auch mit einer normalen Grafik. Diese würde allerdings das Design von xyz.com, abc.de ... beeinflussen
Wieso würde sie das Design beeinflussen? Firma Turboporn liefert Firma Webbug eine beliebige Grafik aus ihren Webseiten zur Auslieferung, Firma Hardcoreschlampe macht das gleiche, liefert aber logischerweise eine eigene Grafik. Turboporn benutzt die URL webbug?site=turbo, Hardcoreschlampe stattdessen webbug?site=schlampe, so das Webbug die jeweils richtige Grafik ausliefern kann.
Das fällt gewissermaßen noch weniger auf als der transparente Pixel.-
Moin!
Dieses Szenario ist anwendbar, aber ernsthaft:
- Es setzt bei allen Webseitenbetreibern ein Gutteil an krimineller Energie voraus (Datenschutzgesetze). Solche Seiten findest Du am ehesten im Bereich der Porno- oder Warez-Anbieter. Wer sich da rumtreibt und persönliche Daten angibt, ist selbst schuld. Da kann man ja genauso gut jedem nächstbesten Crackjunkie vom Hauptbahnhof die Adresse der eigenen Villa geben.
Du kennst die Webbugs von ivwbox.de?
Nun ja, angeblich wird das System nur eingesetzt, damit IVW als unabhängige Kontrollstelle Pageimpressions zählen und damit die Preise für die Onlinewerbung auf den Sites rechtfertigen kann.
Aber da geht es schon weiter: Große Websites setzen Werbeeinblendungen von großen Werbevermarktern ein. Doubleclick ist so einer. Die Werbebanner werden von Werbeservern geladen und lassen so ein Tracking des Benutzers zu. Ob das gemacht wird, sei dahingestellt, aber es ist möglich.
Und wenn eine Website, die solche Werbung einblendet, diese Informationen nicht kaufen will - egal, zumindest hilft sie mit, weitere Daten zu sammeln.
- Mit dieser Vorgehensweise auf ein brauchbares, persönliches Profil zu kommen, bedarf schon eines sehr großen Teilnehmerkreises.
Große Websites und große Werbevermarkter haben große Teilnehmerkreise.
Die Wahrscheinlichkeit, auf zwei Teilnehmerseiten zu treffen, ist für sich alleine schon eher gering (wir reden hier nicht von Doubleclick & Co)
Doch, reden wir auch...
die Wahscheinlichkeit, daß jemand auf mehreren Teilnehmerseiten seine Mailadresse hinterlässt _und_ mit der IP, mit der er die Adresse hinterlassen hat, auch noch Dutzendweise andere Seiten besucht, geht meines Erachtens nach gegen Null.
Nun ja, zwischen dem, was du glaubst, und dem, was technisch möglich ist und gemacht wird, ist offenbar eine größere Differenz.
- Sven Rautenberg
-
Nun ja, zwischen dem, was du glaubst, und dem, was technisch möglich ist und gemacht wird, ist offenbar eine größere Differenz.
Schön zu wissen, daß wenigstens Du die Wahrheit[tm] kennst und demnach selbstverständlich unter gar keinen Umständen einer "Differenz" erliegen könntest.
-
Hi,
Große Websites und große Werbevermarkter haben große Teilnehmerkreise.
Die Wahrscheinlichkeit, auf zwei Teilnehmerseiten zu treffen, ist für sich alleine schon eher gering (wir reden hier nicht von Doubleclick & Co)
Oder Statistik-Anbieter wie nedstat ...
cu,
Andreas--
MudGuard? Siehe http://www.Mud-Guard.de/
Fachfragen per E-Mail halte ich für unverschämt und werde entsprechende E-Mails nicht beantworten. Für Fachfragen ist das Forum da.
-
-
-
-
-
-
-
-
-
Vielen Dank für eure Hilfe,
die Sache mit den Webwanzen kannte ich nicht,
sehr interessant.Ok Fazit:
Geht immer und wenn möglich Browser Bildausgabe
vorgaukeln.Gruss Nikki
