?文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-476079.html
近期發(fā)現(xiàn)公司某些站點(diǎn)出現(xiàn)偶爾跳轉(zhuǎn)博彩網(wǎng)站的現(xiàn)象，經(jīng)過(guò)排查發(fā)現(xiàn)該現(xiàn)象為供應(yīng)鏈投毒攻擊，BootCDN上的靜態(tài)資源無(wú)一例外均被污染，
當(dāng)外站引入BootCDN的靜態(tài)資源時(shí)，如果請(qǐng)求攜帶的Referer頭為指定值（涉及公司隱私不便透露），User-Agent頭為手機(jī)瀏覽器UA，觸發(fā)惡意代碼注入。
?
例如：
https://cdn.bootcdn.net/ajax/libs/react/18.2.0/cjs/react-jsx-dev-runtime.development.js
?
使用指定的Referer和User-Agent頭后
?
?
惡意代碼首先會(huì)檢查User-Agent是否包含Mac和Win即在PC端瀏覽器不會(huì)觸發(fā)惡意動(dòng)作，并且Referer中包含“.”字符時(shí)開(kāi)始執(zhí)行惡意函數(shù)（nRgmSS），
該函數(shù)會(huì)動(dòng)態(tài)創(chuàng)建script標(biāo)簽到網(wǎng)頁(yè)頭部，src指向https://union.macoms.la/jquery.min-4.0.2.js，該文件是一個(gè)偽裝成jquery庫(kù)的惡意文件，該文件中含有跳轉(zhuǎn)代碼，
并根據(jù)規(guī)則提供兩種植入廣告的方式，直接跳轉(zhuǎn)和底部浮動(dòng)廣告。
該文件還會(huì)向網(wǎng)頁(yè)頭部嘗試添加#提供的站點(diǎn)訪問(wèn)統(tǒng)計(jì)js（https://js.users.#/13553579781.js），并以該js作為開(kāi)關(guān)成功加載后執(zhí)行跳轉(zhuǎn)，未成功加載時(shí)，則
無(wú)任何動(dòng)作，也就是攻擊者可以通過(guò)開(kāi)關(guān)#后臺(tái)提供的功能動(dòng)態(tài)選擇是否實(shí)施攻擊。還有部分cookie的判斷，即存在某些cookie或網(wǎng)頁(yè)已經(jīng)加載過(guò)惡意代碼后就
不在繼續(xù)加載。
?
?
?
結(jié)論：
該攻擊方式為典型的供應(yīng)鏈投毒攻擊，攻擊者在服務(wù)器端根據(jù)Referer和User-Agent實(shí)施定向惡意代碼注入，非常隱蔽，惡意代碼作為加載器再進(jìn)一步加載其它的惡意
js文件，進(jìn)而實(shí)施攻擊。能實(shí)施這種攻擊服務(wù)器權(quán)限應(yīng)該已經(jīng)被攻擊者拿下，因此不建議再使用BootCDN的靜態(tài)資源文件。文章來(lái)源：http://www.zghlxwxcb.cn/news/detail-476079.html
?
到了這里，關(guān)于記一次BootCDN被黑產(chǎn)掛馬導(dǎo)致站點(diǎn)跳轉(zhuǎn)博彩網(wǎng)站的問(wèn)題的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
