更多腾讯海量技术文章,请关注云加社区:https://cloud.tencent.com/developer/column
作者:FB客服
在过去的两年里,利用被黑的电商网站对客户的信用卡信息进行钓鱼,这种手法已经非常盛行了。
历史案例
此前我们曾报告过多起案例,黑客在付款页面和支付模块加上了恶意代码,以此来窃取客户的支付信息。客户本身因为并没有太多的特征可以参考,从而很难察觉到这一点。而站长则因为此举不会干扰到支付流程,也不容易发现这点。
与此同时,传统的窃取信用卡信息,或者是银行、PayPal登录信息的活动,也是非常活跃的。
然而,在这个月我们遇到了上述两种类型(单纯的钓鱼网站和被黑的正常站点)的组合攻击,黑客在被黑的电商站点上更改付款页面的代码,然后将客户定向到第三方钓鱼网站的支付页面。
钓鱼黑客通常会使用电子邮件和钓鱼网站去引诱受害者。而在今天介绍的案例中,攻击者直接在被黑的合法电商网站上,劫持了付款页面。
虚假的付款页面
当客户在为商品进行支付时,他们会打开付款页面。但实际上,他们打开的并不是该电商网站支付页面,而是黑客钓鱼网站的支付页面
钓鱼付款页面
它看起来确实像是正常的付款页面,如果受害者是第一次在该网站买东西,不看地址栏的话他们甚至意识不到已经转到一个完全不同的网站。因为受害者已经启动了购物剁手模式,准备输入他们的信用卡账户了,所以这个时候受害者的警惕性是相对要低很多的。最后,你的信用卡信息被盗了,原本合法的电商网站也失去了这单交易。
这种攻击并不是只针对信用卡的。如你前面所见到的,钓鱼也支持PayPal支付。如果你点击了PayPal选项,你会看到跳转到PayPal的登录页面。当然,这里其实是cwcargo钓鱼网站。
当您输入您的登录信息后,钓鱼的php脚本/Checkout/PayPal-login/POST.php,会试图窃取你的PayPal登录信息。处于某种原因,它还会将你导向bluepay.com网站。
我们发现这些付款钓鱼页面,并没有被谷歌官方列入钓鱼站黑名单,所以我们向谷歌进行了报告。当然,我们也向原本的电商站长进行了报告,希望能挽救一些潜在的受害者。
恶意重定向
我们回过头看看那个被黑的电商网站,黑客在这里做的非常简单,只是在支付页面加了一小段JS代码:
比如,一个使用了Woo Commerce的WordPress站点,受感染的文件:
wp-content/plugins/woocommerce/templates/checkout/form-checkout.php
会看起来像这样(34行):
这次攻击也影响了其他的金融平台,比如这篇分析,就是感染了主题文件shopping-cart.tpl。
我们现在还没有看到太多受感染的网站,毕竟这类攻击很难进行检测。你需要在完成下单后才能去访问并扫描付款页面,大多数扫描器是不足以做到这一点的。尽管如此,我们发现这类手法在Magento类网站是比较多见的,而且这类攻击的手法可能会随着时间的推移而变化。
保护你的电商网站
基于前面的分析,我们建议客户在网上购物时,每一步都需要保持警惕:
领取专属 10元无门槛券
私享最新 技术干货