Google分析language垃圾信息

左手的ㄟ右手 2022-05-21 09:20 123阅读 0赞

![640?wx\_fmt=gif][640_wx_fmt_gif]

最近一段时间，我在Google Analytics（以下简称GA）中查看网站数据时，发现一个非常可疑的信息：

![640?wx\_fmt=png][640_wx_fmt_png]

这什么鬼？

“language”这一项一般是 “zh-tw”, “zh-cn”, “en-us”, “es”, “fr”等，它是由用户浏览器设定的。但用户浏览器不可能把语言项设置为这些：

> Secret.ɢoogle.com You are invited! Enter only with this ticket URL. Copy it. Vote for Trump! o-o-8-o-o.com search shell is much better than google! Vitaly rules google ☆*:｡゜ﾟ･*ヽ(^ᴗ^)ﾉ*･゜ﾟ｡:*☆ ¯\_(ツ)*/¯(ಠ益ಠ)(ಥ‿ಥ)(ʘ‿ʘ)ლ(ಠ*ಠლ)( ͡° ͜ʖ ͡°)ヽ(ﾟДﾟ)ﾉʕ•̫͡•ʔᶘ ᵒᴥᵒᶅ(=^ ^=)oO Congratulations to Trump and all americans

## 分析请求 ##

很明显，这是一种新的 spam（垃圾信息），希望吸引目标人群（可能就是我们这样的网络管理员）的注意力。

仔细地观察这些请求，会发现几个特点：

1.  请求数有明显的波峰，在几天内会达到高峰，然后又降下去
2.  New Sessions 的比例非常高，达到了86%以上

![640?wx\_fmt=png][640_wx_fmt_png 1]

## 分析其它受攻击的栏目 ##

仔细查看 GA 统计项目的这些请求，发现 referrer 一栏也比较可疑地出现了这些：

> motherboard.vice.com addons.mozilla.org webmasters.stackexchange.com blackhatworld.com thenextweb.com abc.xyz lifehacĸer.com ...

这其中有一些非常正规的域名。比如`abc.xyz`是Google的母公司alphabet的官网，`thenextweb.com`也是一个开发者媒体。

这些网站本身没有问题，但其实该网站上并没有任何一个链接指向我的博客，更谈不上我的访客“来自”（referral）该网站了。当我访问回去，发现并没有实际上的链接，只是广告，倒也罢了，更可怕的是可能会有钓鱼、病毒等。

综上，这是一波二维攻击（假的语言项和假的 referral 项），目的是吸引你的注意力。

## 分析攻击怎么产生的 ##

总的来说，这种垃圾信息有两种攻击方式。一种是真正会访问你的网站的网络爬虫；另一种是不访问你的网站，而是将假冒的“点击”事件直接发送到GA服务器。事实上，第二种攻击方式由于成本低，因而更加常见。

GA 的统计逻辑是，当用户访问你的网站，会在前端运行一段 JavaScript 代码，然后把用户的一些访问情况通过 HTTP 请求发送给 GA 服务器，告诉 GA 发生了一次“访问”。而这个 HTTP 请求可以很容易地被伪造，所以垃圾信息发送者无需真的访问你的站点，它直接发送大量 HTTP 请求即可达到目的。

除了 HTTP 请求，GA 还支持更方便的Measurement Protocol ，开发者可以发送一个原始数据（raw data）给GA，来一次性传输大量用户行为。这个协议的初衷是让开发者可以统计所有环境下的用户行为，比如开发者可以将离线状态下的用户行为记录下来，当在线时一次性发送。或者当内网不支持外部访问时，先记录下用户行为，随后再定时一次性发送到 GA。

初衷是好的，不幸的是，这个过程仍然是无需认证身份，所以更方便了垃圾信息发送者。垃圾信息发送者可以通过一次请求即发送大量假数据，他只需要得到你的 UA-ID（UA-XXXXXXX-XX）即可。

在这个原始数据包中，一切皆可伪造。Hostname？没问题！Referral？全改了！URL path？当然也可以改……

## 如何避免 ##

对网站主来说，这种垃圾信息有几点危害：1、浪费时间，就像传统垃圾邮件一样。2、干扰 GA 状态栏，特别是如果网站流量不是很大（比如我）。3、传播病毒。

所以，有没有完美的解决方法呢？实际上，没有。

要知道，数据一旦录入到 GA，就没有办法删掉了。能做的只有两件事，一是阻止垃圾信息进一步加入到 GA，二是在视图中过滤掉已经添加进来的垃圾信息，眼不见为净。

## 第一步：使用过滤器阻止未来的垃圾信息 ##

在语言项中，一般字符数是5-6个，很少有超过10个的，所以我们可以认为语言项超过15个字符的就一定是垃圾信息。

此外，有一些字符是不可能出现在合法的语言项中，但垃圾信息会利用这些字符来组成URL，比如： “secret google com”, “secret,google,com”, “secret!google!com”，所以我们也一并排除空格、点号、逗号、惊叹号。

`.{15,}|\s[^\s]*\s|\.|,|\!|\/`

在admin中选择Filter，然后新增一个如图所示的过滤器即可。

![640?wx\_fmt=png][640_wx_fmt_png 2]

设置好了之后，可以验证一下是否会拦截掉我们想拦截的内容：

![640?wx\_fmt=png][640_wx_fmt_png 3]

没有问题，未来的语言项垃圾信息会直接被拦截掉。

## 第二步：通过Segment净化已有数据 ##

过滤器从你开始设置时生效，而历史信息无法修改。不过 GA 提供了 custom segment 功能，在生成报告时，选择性过滤掉一些数据。

Segment 就是数据片段，指的是在完整的数据中取出我们需要的片段进行分析。比如我们可以单独取出24岁以下的用户的行为，对比24岁以上的用户行为有何不同。而这个功能正好可以让我们把“语言”不规范的数据过滤掉。

如下图，在All Users的旁边有一个 + Add Segment 的按钮，点击之后就可以配置我们的 segment。

一定要注意是选择“does not match regex”，里面填上之前的正则。

![640?wx\_fmt=png][640_wx_fmt_png 4]

创建好了新的 segment 之后，就会看到过滤之后的全新报告。

![640?wx\_fmt=png][640_wx_fmt_png 5]

下次再进入时，又会默认进入到 All Users 视图，这时可以在 All Users 里的 custom 里找到我们的自定义 segment，勾选即可。

如果经常需要查看这个 segment，推荐点击 shortcut 来新增快捷方式。

![640?wx\_fmt=png][640_wx_fmt_png 6]

它会保存当前的 segment 和排序等，下一次可以直接从 Short 项目进入到这个快捷目录。

以上就是完整的过滤方法了，这样应该可以过滤掉大部分语言spam的攻击。GA提供的 filter 和 segment 的功能很强大，如果后续发现有新的垃圾信息，可以继续通过今天学习的方法来更新完善我们的过滤器。

**公众号推荐:**

![640?wx\_fmt=jpeg][640_wx_fmt_jpeg]

![640?wx\_fmt=jpeg][640_wx_fmt_jpeg 1]

[640_wx_fmt_gif]: /images/20220521/5522a19b8d994fb0bcca18d64ed93465.png
[640_wx_fmt_png]: /images/20220521/0e13322281124bc9ba0ba6536935a34c.png
[640_wx_fmt_png 1]: /images/20220521/9c62557523fc40b2999049ee01ca339c.png
[640_wx_fmt_png 2]: /images/20220521/1a5ba273fe304aca859d0a4de0cb5d76.png
[640_wx_fmt_png 3]: /images/20220521/d59a85be906a4a0dbc912eb76a993dcb.png
[640_wx_fmt_png 4]: /images/20220521/ded1cc4de05a4722b66c0d254fd7d02a.png
[640_wx_fmt_png 5]: /images/20220521/95385ee82813464486c3f35471822c34.png
[640_wx_fmt_png 6]: /images/20220521/b27fc451453a4e85a060c3365a6706b4.png
[640_wx_fmt_jpeg]: /images/20220521/c8c88932f09f4b8695aebde834ef488a.png
[640_wx_fmt_jpeg 1]: /images/20220521/f64fb421a9d240df94f134a5e01b8ea5.png