Cloudflare发布新功能,恶意脚本能够被预警

安全
近期,Cloudflare发布了一项新功能,旨在保护网站免受Magecart和其他基于JavaScript的恶意攻击。

恶意脚本攻击就在我们身边

近期,Cloudflare发布了一项新功能,旨在保护网站免受Magecart和其他基于JavaScript的恶意攻击。

[[393671]]

通过在目标网站中引入恶意JavaScript脚本并将网站用户重定向至恶意网站,这是一种很常见的网络攻击手段。目标用户在被重定向至恶意网站后,攻击者将能够显示钓鱼表单、利用漏洞实施攻击或窃取用户提交的支付信息等等。

为了在网站中引入恶意脚本,攻击者往往会将恶意内联JavaScript添加到网页中,在其控制下添加外部恶意JavaScript依赖文件,或者在供应链攻击中破坏现有的第三方脚本。

当JavaScript作为依赖项从外部位置加载时,在许多情况下,它们一般都不会有人去注意,特别是当站点的用户体验没有外部变化时,就更不会有人去关注它们了。

比如说,Magecart攻击是通过引入恶意JavaScript来进行的,它可以窃取用户在网站上提交的信用卡信息。由于这些数据被悄悄地传输到远程位置,而用户的购买行为不会被打断,用户不会注意到任何奇怪的东西,因此也不会向网站报告异常发生。

这样一来,Magecart攻击活动

(https://www.bleepingcomputer.com/tag/magecart/page/4/)就可以悄悄地从目标用户那里窃取到信用卡信息,而几个月甚至几年之后,攻击早就已经发生了

(https://www.bleepingcomputer.com/news/security/oxo-breach-involved-magecart-attack-that-targeted-customer-data/),一切都已经来不及了。

Page Shield-保护网站免受恶意脚本攻击

就在前几天,Cloudflare宣布了一个新的安全特性,即Page Shield,这个新功能可以检测由恶意JavaScript依赖引起的针对终端用户浏览器的攻击。

Cloudflare表示:“我们的使命是帮助建立一个更好的互联网,其中也涉及到终端用户的浏览器。在过去的几年里,我们发现针对终端用户浏览器的攻击活动日趋频繁。有了Page Shield,我们将帮助应用程序检测并缓解这些难以捉摸的攻击,以确保用户敏感信息的安全。”

随着Page Shield的发布,Cloudflare开始使用一个“脚本监视器”工具,每当受保护站点上的访问者在浏览器中执行JavaScript依赖文件时,该工具都会向Cloudflare报告。

在这些报告的帮助下,Cloudflare将构建站点上使用的已知脚本的历史记录。当检测到一个新的脚本时,便会提醒网站的管理员,以便他们可以进一步调查。

通过使用脚本监视器,Web管理员可以发现访问者在其网站上加载的可疑JavaScript文件,并快速调查这些文件是否具备恶意行为。

但值得一提的是,它并不能保护访问者不受在供应链攻击中修改的现有JavaScript依赖项的影响。

比如说,一个网站曾经加载过一个来自于https://www.example.com/js/harmless.js的JavaScript文件,而攻击者又曾经修改过example.com上的文件,那么脚本监视器将无法检测到这种修改行为,因此恶意代码将被允许在供应链攻击中执行。

为此Cloudflare也表示,他们计划在将来添加更多的功能,以实现在脚本内容发生更改或包含恶意签名时发出警报。

后话

总的来说,对于Cloudflare用户来说,这是一个令人兴奋的工具,可以帮助检测您的站点是否被黑客入侵以加载恶意JavaScript文件。

但是,此功能仅适用于商业和企业订阅,而那些处于Pro或Free服务级别的用户将无法从该服务中获益。

如果您对测试新的页面屏蔽功能感兴趣,可以注册加入Cloudflare的Beta测试

(https://www.cloudflare.com/waf/page-shield/)。

 

责任编辑:赵宁宁 来源: FreeBuf
相关推荐

2020-07-10 14:02:14

Windows 10微软新功能

2011-04-20 11:20:07

Gnome 3.2

2014-12-19 09:53:25

Android 5.1

2023-04-17 07:32:01

软件包OpenBSD

2022-04-17 18:55:44

KubuntuLinux 发行版Ubuntu

2020-12-30 10:58:52

MIUI

2010-04-02 09:15:19

GNOME 2.30

2021-08-19 09:37:06

Go 1.17语言架构

2020-12-15 13:18:29

AWSSageMaker

2022-04-16 12:21:59

XubuntuLinux

2020-07-10 16:03:20

微软浏览器Windows

2010-11-12 10:32:53

微软Azure云计算

2021-02-02 14:39:03

微服务架构数据

2010-07-15 09:19:24

Scala 2.8Scala 2.8下载Scala 2.8中文

2023-11-16 14:00:23

iOS 17.2苹果

2017-09-06 15:14:25

苹果发布iOS 11

2022-04-25 11:16:24

UbuntuLinux

2022-03-01 09:08:35

Fedora 36GNOMEKDE 流派

2022-04-25 10:34:16

UbuntuLinux 内核稳定版本

2009-09-01 13:26:42

JBossWS 3.2
点赞
收藏

51CTO技术栈公众号