Question

如果浏览器是Tor浏览器，我想要禁用我正在构建的网络应用的某些功能。我可以在浏览器内部（客户端，而不是服务器端）查明浏览器是否是Tor浏览器？

我更希望找到一个解决方案，它不会发出任何HTTP请求，以使浏览器的IP与Tor出口节点相匹配。

背景：就我而言，Tor浏览器会弹出一个对话框，询问用户＆＃34; Tor浏览器是否允许此网站提取HTML5画布图像数据？＆＃34; ，因为， Tor Browser说，画布图像数据可用于唯一标识浏览器。

更新：阅读下面的答案后：在我的情况下，也许最好的解决方案是保留服务器端的Tor出口节点列表（最新列表，定期刷新），当浏览器加载页面时，如果浏览器的IP与这样的退出节点<script>匹配，我在var isProbablyTorBrowser = true标记中设置变量。然后，客户端，不需要额外的请求或复杂的逻辑。

Answer 1

Tor浏览器的设计不是不可检测的（这是不可能的）。相反，它的设计使得所有副本彼此无法区分：您无法通过browser fingerprinting跟踪浏览器从一个站点到另一个站点，或从一个访问到另一个站点。

这给它一个独特的指纹。截至目前，一个浏览器

拥有Mozilla/5.0 (Windows NT 6.1; rv:31.0) Gecko/20100101 Firefox/31.0
屏幕分辨率与浏览器窗口大小相匹配（特别是如果该大小为1000x800）
时区为＆＃34; 0＆＃34; （GMT）
没有插件（navigator.plugins为空）

可能是TBB浏览器。当下一个ESR版本的Firefox发布时，User-Agent字符串可能会发生变化，最有可能是Mozilla/5.0 (Windows NT 6.1; rv:31.0) Gecko/20100101 Firefox/38.0。

单独的屏幕分辨率/浏览器窗口匹配可以唯一地识别TBB：即使在全屏模式下，Firefox中的窗口高度和屏幕高度之间也存在一个像素差异。

Answer 2

＆＃34;官方＆＃34;检测tor的方法是检查用户的IP地址，看看它是否是一个出口节点。 Tor为此目的运行TorDNSEL。

以下是Irongeek教程中TorDNSEL查找的PHP实现

function IsTorExitPoint(){
    if (gethostbyname(ReverseIPOctets($_SERVER['REMOTE_ADDR']).".".$_SERVER['SERVER_PORT'].".".ReverseIPOctets($_SERVER['SERVER_ADDR']).".ip-port.exitlist.torproject.org")=="127.0.0.2") {
        return true;
    } else {
        return false;
    } 
}

function ReverseIPOctets($inputip){
    $ipoc = explode(".",$inputip);
    return $ipoc[3].".".$ipoc[2].".".$ipoc[1].".".$ipoc[0];
}

如果您不使用PHP，您仍然可以相对轻松地进行调整。

另一种检测Tor的方法是让脚本每半小时左右下载一次Tor出口节点列表，然后根据该列表检查每个用户的IP地址。但是，这可能不太可靠，因为并非所有出口节点都已发布。您可以使用列表和说明，dan.me.uk。

编辑：由于您更新了问题，因此第二个选项（您在本地托管的列表）将更受欢迎。

Answer 3

没有可靠的方法来检测TOR浏览器......这是该浏览器的目标。如果你找到一种可靠的方法，那么其他人也很有可能找到它，告诉TOR开发人员他们关闭它。

E.g。所有TOR Browser捆绑包都报告虚假，但合理的用户代理。当前的发行版本，例如无论你实际使用什么操作系统，它都是Mozilla/5.0 (Windows NT 6.1; rv:31.0) Gecko/20100101 Firefox/31.0。

您可以应用一些启发式方法以一定的概率检测TOR浏览器，但也会产生一些误报......

检查用户代理。 TOR Browser将在某个操作系统上报告最新的Firefox ESR，目前Windows 7为32位（但有些用户可能会再次更改，而其他用户可能只是使用ESR版本而不是TOR浏览器）。
插件已停用，因此navigator.plugins将为空（但某些用户可能会再次重新启用插件）。
等
实际检测浏览器uses the TOR network。

当然，您必须更新您的支票，因此需要相当多的维护工作。

就个人而言，鉴于用户的检测结果，维护负担和非常适度的体验改进不是很好，我不会尝试以不同的方式处理TOR浏览器。

Answer 4

可能有一种非常可靠的方式。当您尝试使用画布使用Base64时，检查它是否返回空白（白色）图像。 When you do so an notification is shown.

无论用户选择什么，JS都会返回白色图像。因此，您可以尝试base64（＆lt; - 它是动词;））非白色图像，然后检查是否返回了白色base64图像。

UPD。这是我为自己做的一个例子。对我来说，重要的是检测我是否可以访问图像，但它可以用于某种方式的Tor检测。

UPD2。甚至可能没有显示通知，因为它显示在下面的代码片段中。也许是因为它是在iframe中运行的。

function isTorBrowser() {
    var img = document.createElement("img");
    // Creates a black 1x1 px image
    img.src = 'data:image/png;base64,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';

    var canvas = document.createElement("canvas");
    canvas.width = 1;
    canvas.height = 1;
    var ctx = canvas.getContext("2d");
    var imagedata = ctx.getImageData(0, 0, canvas.width, canvas.height);
    
    return imagedata.data[0] == 255 
                && imagedata.data[1] == 255
                && imagedata.data[2] == 255
                && imagedata.data[3] == 255;
}

document.getElementById('tor-browser-test').innerHTML = isTorBrowser() ? 'Is Tor' : 'Not Tor';

<div id="tor-browser-test"></div>

Answer 5

通过firefox资源包，你可以检查它。

Firefox使用resource：// URI方案从内部模块和扩展中调用磁盘资源。

但是其中一些资源也可能包含在任何网页中并通过脚本标记执行。 Mozilla开发人员并未将资源视为指纹矢量，尽管其中一些资源可以揭示用户不希望的内容。例如，内置首选项文件的差异清楚地表明您正在使用Windows或Linux或Mac，即使您不在Tor浏览器之后。

https://www.browserleaks.com/firefox

我可以通过Javascript检测浏览器内部的Tor浏览器吗？

5 个答案: