高加索AV无码,99尹人网毛,韩日337p99,一级a片久久无,97色区综合,激情日韩在线一二三,日韩精品久久精品草比,婷婷久久91,亚洲天堂艹比

孟焯 Akamai大中華區(qū)高級售前技術顧問

新冠肺炎疫情帶來的大量不確定性正讓人們越發(fā)依賴數字化工具，并使遠程辦公、學習、購物、娛樂等生活方式變?yōu)槌�態(tài)，隨著人們對互聯(lián)網的依賴達到了前所未有的程度，網絡威脅發(fā)起者也在關注線上活動的迅猛增長，伺機而動，竊取終端用戶個人信息并以此獲利。作為易操縱且適用范圍廣的攻擊方式，第三方腳本攻擊正在快速流行，對包括電子商務、媒體出版業(yè)網站在內的眾多網站形成威脅。

和其他以服務器為目標的攻擊方式不同，第三方腳本攻擊主要針對瀏覽器端發(fā)起攻擊。這種攻擊方式較為隱蔽，企業(yè)較難使用傳統(tǒng)手段進行防御和打擊。而一旦攻擊者得手，造成的影響往往又是難以估量的。其中的代表Magecart攻擊就“攻陷”過許多備受矚目的網站，包括奧運會售票網站、英國航空、Ticketmaster等。RiskIQ的一項研究顯示，疫情爆發(fā)的前幾個月，Magecart攻擊數量增長了20％ 。鑒于第三方腳本攻擊形勢愈加嚴峻，加上在線服務使用的繼續(xù)增加為攻擊者提供更多可乘之機，企業(yè)須做好充分的防范準備，應對這一迫在眉睫的新型網絡攻擊威脅。

第三方腳本成為網絡攻擊“重災區(qū)”

第三方腳本攻擊的興起源于第三方腳本的流行。為使用戶獲得更豐富、便捷的Web體驗，越來越多的網站通過第三方腳本為用戶提供支付、預訂等服務。一方面，這些腳本都是通過第三方進行功能維護和更新，對于第一方而言通常未知，因此為第一方網站的自身安全性埋下了隱患。另一方面，隨著用戶對網站功能多樣化的需求增加，第三方腳本的大小與請求數正在飛速增長，這使得攻擊面進一步擴大。數據顯示，2011年至2018年間，網頁頁面中的第三方腳本大小增長了706％，請求數增加了140％ 。以Akamai官網為例，如果使用可視化工具“Request Map” 來展現(xiàn)頁面上所有請求的來源，會發(fā)現(xiàn)網站中超過50％的腳本都是來自第三方的腳本。

具體而言，第三方腳本攻擊往往從第三方、第四方網站開始。攻擊者通過將惡意代碼添加到第三方腳本更新中，從而“穿透”平臺的必要安全檢查（例如WAF），進入供應鏈交付，最終在第一方網站頁面上竊取個人識別信息（PII），再通過執(zhí)行惡意代碼，把這些數據發(fā)回給攻擊者。

當前，第三方腳本攻擊中最“臭名昭著”的莫過于Magecart攻擊。該攻擊以Magecart這一黑客組織命名，專門使用惡意代碼通過污染第三方和第四方的腳本，從終端用戶提交的支付表單中竊取支付信息，以獲取經濟利益。其具備以下幾個特點：

第一，影響范圍廣。該攻擊不僅針對大型支付網站，任何有支付業(yè)務、需要在頁面中提交表單的網站，無論大小，均有可能遭受此類攻擊。第二，攻擊后果嚴重。該攻擊“威力”巨大，單一攻擊事件就可以造成數以千計的網站感染、百萬個信息被盜取。在針對英國航空的Magecart攻擊中，攻擊者僅用22行腳本代碼，就盜取了38萬張信用卡的信息，相當于給犯罪分子送去1700多萬美元的凈收益 。第三，攻擊手段不斷升級。最近一次已知的Magecart攻擊發(fā)生在今年4月，Magecart黑客團體采用名為“MakeFrame”的新型數據竊取器，將HTML iframes注入網頁中以獲取用戶付款數據，成功地破壞了至少19個不同的電子商務網站 。

事實上，像Magecart攻擊這樣的“表單劫持類”第三方腳本攻擊還有很多種，例如黑客針對優(yōu)化電商轉換率的分析服務Picreel和開源項目Alpaca Forms發(fā)起的攻擊都屬于這一范疇。2019年5月，攻擊者通過修改Picreel和Alpaca Forms的JavaScript文件，在超過4600個網站上嵌入惡意代碼，“劫持”用戶提交的表單 。這種情況愈演愈烈，根據2019年《互聯(lián)網安全威脅報告》，全球平均每個月有超過4800個不同的網站遭到類似的表單劫持代碼入侵 。