穿越Magecart迷宫：一个受Magecart影响网站的警示故事
内容提要
Cloudflare发现客户网站上的一个可疑和混淆的脚本，该脚本窃取个人身份信息，包括信用卡详细信息，并将窃取的数据传输到攻击者控制的服务器。脚本使用数据编码和解码函数来隐藏发送的数据的性质。它还监视网站上的特定输入字段并收集用户数据。脚本以伪装成正常互联网流量的方式将收集到的数据发送到攻击者的服务器。Cloudflare的机器学习算法成功将该脚本标记为Magecart类型的攻击。Cloudflare建议实施安全措施，如WAF Managed Rule Product、ML-Based WAF Attack Score、Page Shield和Sensitive Data Detection（SDD），以增强安全性并防止类似威胁。
延伸解读
域名伪装：识别恶意脚本的第一线索
攻击者使用 cdn.jsdelivr.at 域名，刻意模仿知名的 cdn.jsdelivr.net，以降低用户和检测系统的警惕。该域名注册于2022年4月，注册商1337team Limited以提供防弹主机服务闻名，常被用于网络犯罪活动。因此，在审查第三方脚本时，应仔细核对域名拼写和注册信息，避免被相似域名误导。
数据窃取手法：编码与隐蔽传输
脚本通过Base64和URL编码隐藏窃取的数据，并利用Image元素将数据发送至攻击者服务器，伪装成正常图片请求。它持续监控信用卡号、姓名、邮箱等敏感输入字段，并利用本地存储暂存数据，防止因网络问题丢失。这种手法表明攻击者精心研究了网站结构，以确保持续窃取。
防御策略：客户端安全与持续监控
Cloudflare的机器学习模型成功将脚本标记为Magecart攻击，凸显了自动化检测在应对新型威胁时的价值。建议网站运营者部署WAF托管规则、基于ML的WAF攻击评分、Page Shield和敏感数据检测（SDD），以增强客户端安全。尤其对于处理敏感数据的网站，持续监控第三方脚本和用户输入至关重要。
Q&A
Magecart攻击通常如何窃取用户的信用卡信息？
Magecart攻击通过在网站中注入恶意JavaScript脚本，监控用户输入的信用卡号、姓名、邮箱等敏感字段，并将数据编码后秘密发送到攻击者控制的服务器。
Cloudflare是如何发现并识别Magecart攻击脚本的？
Cloudflare的安全研究团队在例行审查Page Shield标记的低分脚本时，发现了一个可疑的混淆脚本。其机器学习算法成功将该脚本标记为Magecart类型的攻击。
恶意脚本使用了哪些技术来隐藏其行为并窃取数据？
脚本使用Base64和URL编码函数隐藏数据，监控特定输入字段，通过创建隐藏的Image元素将数据伪装成正常流量发送到攻击者服务器，并利用本地存储暂存数据，定期执行数据收集。
网站所有者可以采取哪些措施来防御Magecart攻击？
建议实施WAF Managed Rule Product、基于ML的WAF Attack Score、Page Shield和敏感数据检测（SDD），以增强安全性并防止类似威胁。
Page Shield在防御Magecart攻击中起到什么作用？
Page Shield能够自动检测恶意JavaScript代码，保护网站免受Magecart式攻击和浏览器供应链威胁，监控第三方脚本，帮助识别恶意活动并主动预防客户端攻击。
恶意脚本如何将窃取的数据发送到攻击者服务器？
脚本通过程序化创建一个不显示的Image HTML元素，将其src属性设置为攻击者服务器的URL，并将编码后的数据作为查询参数附加，从而模拟正常网络流量进行隐蔽传输。
