首先,攻击者会设法攻陷目标网店的谷歌标签管理器(GTM,一种常用的网站流量和营销分析管理工具)容器,植入一个恶意标签。对于普通网店来说,googletagmanager.com 是进行日常数据分析的绝对安全源,这个域名的脚本可以绕过网页内容安全策略(CSP)和各种广告拦截器,畅行无阻地执行。于是,GTM 变成了一个不可拦截的恶意脚本投递工具 。
GTM 标签激活后,并不会连接到什么奇怪的第三方服务器,而是正大光明地向 api.stripe.com 发起请求,拉取藏在攻击者自己 Stripe 账号中的盗刷脚本。具体的做法是:攻击者在自己的 Stripe 沙盒环境里,利用 测试模式秘钥 (sk_test_...),将完整的盗刷 JavaScript 代码保存在一个客户信息的元数据字段中 。这样一来,盗刷脚本就从一个被视为支付环节“自来水”的可信域名分发了出去,这让基于域名的常规网络监控几乎彻底失灵。
当购物者在支付页面输入信用卡号、个人详细信息或账单地址时,被注入的盗刷脚本会实时捕获这些数据,然后再次通过 Stripe API,把这些信息作为“虚假客户记录”或者“元数据条目”写回同一个攻击者控制的 Stripe 账号 。由于外传数据的目标地本就是
api.stripe.com,这些恶意请求会完美地与正常的支付 API 调用混在一起,在防火墙日志和异常行为分析系统的眼中,它们就是再正常不过的支付流程,没有任何破绽 。
Stripe 的测试模式秘钥(以 sk_test_ 开头)虽然不能发起真实扣款,但它在沙盒环境中拥有完全的读写权限,让使用者可以不受限制地、零成本地创建成千上万个虚假客户信息和元数据字段 。因为不会触发真实交易,这些秘钥的滥用极其容易被忽视。许多组织都认为测试钥匙风险不大,从不对沙盒环境的活动采取与生产环境同等严格的审计措施。
这起攻击使用的是测试秘钥,而如果攻击者获得的是生产环境的实时秘钥(sk_live_...),他们就能直接读取真实的交易数据,发退钱、转资金都不在话下。虽然本次攻击用的是测试模式,但背后的逻辑是一样的:任何模式的 Stripe API 密钥都是一把高权限的“万能钥匙”,绝对不应该让它出现在网页前端代码、GTM 容器变量代码或任何公开代码仓库里 。
当电商巨头们正为这种高级伪装攻击焦头烂额时,使用 WordPress 建站的广大用户也面临一个十万火急的威胁。一款名为 Everest Forms Pro 的表单插件存在高危漏洞,且该漏洞自 2026 年 4 月 13 日起就已被大规模利用 。
CVE-2026-3300 是一个“未经身份认证的远程代码执行”漏洞,它存在于 Everest Forms Pro 插件的“计算器”附加组件(Calculation Addon)中。这个插件的活跃安装量约 4000 个,漏洞 CVSS 评分为极其危险的 9.8 分,影响所有低于或包含 1.9.12 的版本 。
漏洞的根源在 process_filter() 这个函数上。当网店开启了“复杂计算”这一功能后,插件在处理用户在前端提交的表单字符串时,会把这些用户输入直接拼接到一段 PHP 代码里,然后通过 eval() 函数执行。更致命的是,系统用来对输入进行清洁的函数 sanitize_text_field() 并未对单引号等特殊字符做任何处理,一个经验丰富的攻击者能轻松构造恶意输入,跳出预期的字符串,进而插入任何他想在服务器上执行的 PHP 命令 。
安全公司 Wordfence 报告称,他们已经拦截了超过 29,300 次漏洞利用尝试。在成功入侵后,攻击者通常会立即创建新的管理员账号来长期控制网站 。网站主们应格外留意服务器上是否有名称可疑的新管理员账户、陌生文件、异常的
eval() 执行记录,或是向未知 IP 地址的外连行为 。
script-src 这项策略中将 api.stripe.com 加入到白名单里。如果一定要加,必须执行子资源完整性(SRI)哈希校验,并坚决禁止内联脚本(inline scripts),以此来增加攻击者注入脚本的难度
Comments
0 comments