javascript - 攻击者能否用完其他站点的 Google map 配额？

Question

据我了解(给定 this previous question 和 the Google Maps API docs )，攻击者似乎可以用完另一个站点的配额。

例如，假设我运行一个网络应用“Find Taxi”，而竞争对手运行“Find Ride”。在我的网络应用程序的 JavaScript 代码中，我包含了我的 Google Maps v3 API key 。 “Find Ride”的开发人员运行一个 PhantomJS 进程，该进程伪造引用 header (如 http://findtaxi.com/ )并每天在他的服务器上加载 25,000 张 map (用完我的配额限制)。请注意，即使给定客户端 IP 速率限制，1 个请求/秒/用户，也可以在一天内从单个客户端达到配额(一天 86,400 秒)。

我创建了一个简单的 PhantomJS 脚本来模拟这个(以及一个 API key ，将 referrer 限制为 example.com/*)，所以这个攻击似乎是可行的。谷歌是否依靠非技术原因来阻止这种情况？例如，我可以看到法律问题(如果此攻击被泄露对业务的威胁)和经济问题(运行攻击服务器的成本)。

我想我问这个问题是为了防止我错过了无法进行这种攻击的技术原因。

Answer 1

Google Geo 业务支持在 2013 年 12 月向我确认他们的文档在这个问题上已经过时了。 Google Maps API 域限制使用浏览器的 window.location 对象，不是 HTTP_REFERER 请求 header 。考虑到 HTTP_REFERER 可能由于各种原因而丢失，从新的浏览器窗口到代理服务器重写 header 值，这是有道理的。

这使得欺骗授权域变得更加困难，但是，这在理论上仍然是可能的。一个非常坚定的攻击者可以在任何开源浏览器引擎(例如 Chromium、PhantomJS、Rhino 等)中修改 window.location 的 JS native 代码。

这似乎是可能的，但不太可能，除非你有一些讨厌的竞争对手。此外，我敢打赌，如果您能证明您的 Maps API 使用率明显高于您的分析使用率显示加载 map API 的页面，Google 支持人员将调查第三方滥用 API 的嫌疑。