Magecart 新变种：如何在电商眼皮底下用 Stripe 做“数据保险箱”

一项由电商安全公司 Sansec 和 BlepingComputer 在 2026 年 6 月披露的网络安全报告揭示了一个令人震惊的新趋势：Magecart 攻击组织找到了一种方法，将 Stripe 自身的基础设施变成了“指挥与控制（C2）服务器”和数据外传的终点 。

这种攻击手法之所以格外阴险，是因为它全程不触碰任何外部恶意域名。无论是盗刷脚本的加载器、核心恶意 payload，还是最终被窃取的信用卡、地址等个人敏感信息，全部通过 googletagmanager.com 和 api.stripe.com 这两个域名传输。对于任何一家现代电商网站来说，这两个域名都是支撑其流量统计和在线支付的核心基础设施，几乎没有任何安全策略会屏蔽或深度检查它们 。

伴随着这场巧妙潜伏的电商攻击，WordPress 生态系统中一个名为 Everest Forms Pro 的付费表单插件也曝出了严重安全漏洞，且已在野外被大面积利用，这让众多中小型网站面临服务器被直接接管的巨大风险 。

攻击细节：三阶段手法，全链路隐身

这套盗刷流程就像一个精心策划的“特洛伊木马”战术，攻击者将恶意行为深度伪装在正常的业务流量之中 。

第一阶段：借“谷歌标签管理器”投放加载器

首先，攻击者会设法攻陷目标网店的谷歌标签管理器（GTM，一种常用的网站流量和营销分析管理工具）容器，植入一个恶意标签。对于普通网店来说，googletagmanager.com 是进行日常数据分析的绝对安全源，这个域名的脚本可以绕过网页内容安全策略（CSP）和各种广告拦截器，畅行无阻地执行。于是，GTM 变成了一个不可拦截的恶意脚本投递工具 。

第二阶段：从 Stripe 的 API 悄悄“领货”

GTM 标签激活后，并不会连接到什么奇怪的第三方服务器，而是正大光明地向 api.stripe.com 发起请求，拉取藏在攻击者自己 Stripe 账号中的盗刷脚本。具体的做法是：攻击者在自己的 Stripe 沙盒环境里，利用 测试模式秘钥 (sk_test_...)，将完整的盗刷 JavaScript 代码保存在一个客户信息的元数据字段中 。这样一来，盗刷脚本就从一个被视为支付环节“自来水”的可信域名分发了出去，这让基于域名的常规网络监控几乎彻底失灵。

第三阶段：把偷来的数据“存回”Stripe

当购物者在支付页面输入信用卡号、个人详细信息或账单地址时，被注入的盗刷脚本会实时捕获这些数据，然后再次通过 Stripe API，把这些信息作为“虚假客户记录”或者“元数据条目”写回同一个攻击者控制的 Stripe 账号 。由于外传数据的目标地本就是 api.stripe.com，这些恶意请求会完美地与正常的支付 API 调用混在一起，在防火墙日志和异常行为分析系统的眼中，它们就是再正常不过的支付流程，没有任何破绽 。

安全研究员发现，整个攻击链条从 2025 年 12 月 24 日起就已经开始活跃了 。

为什么测试模式的秘密钥匙如此危险？

Stripe 的测试模式秘钥（以 sk_test_ 开头）虽然不能发起真实扣款，但它在沙盒环境中拥有完全的读写权限，让使用者可以不受限制地、零成本地创建成千上万个虚假客户信息和元数据字段 。因为不会触发真实交易，这些秘钥的滥用极其容易被忽视。许多组织都认为测试钥匙风险不大，从不对沙盒环境的活动采取与生产环境同等严格的审计措施。

这起攻击使用的是测试秘钥，而如果攻击者获得的是生产环境的实时秘钥（sk_live_...），他们就能直接读取真实的交易数据，发退钱、转资金都不在话下。虽然本次攻击用的是测试模式，但背后的逻辑是一样的：任何模式的 Stripe API 密钥都是一把高权限的“万能钥匙”，绝对不应该让它出现在网页前端代码、GTM 容器变量代码或任何公开代码仓库里 。

CVE-2026-3300：WordPress 站点的另一场危机

当电商巨头们正为这种高级伪装攻击焦头烂额时，使用 WordPress 建站的广大用户也面临一个十万火急的威胁。一款名为 Everest Forms Pro 的表单插件存在高危漏洞，且该漏洞自 2026 年 4 月 13 日起就已被大规模利用 。

CVE-2026-3300 是一个“未经身份认证的远程代码执行”漏洞，它存在于 Everest Forms Pro 插件的“计算器”附加组件（Calculation Addon）中。这个插件的活跃安装量约 4000 个，漏洞 CVSS 评分为极其危险的 9.8 分，影响所有低于或包含 1.9.12 的版本 。

漏洞的根源在 process_filter() 这个函数上。当网店开启了“复杂计算”这一功能后，插件在处理用户在前端提交的表单字符串时，会把这些用户输入直接拼接到一段 PHP 代码里，然后通过 eval() 函数执行。更致命的是，系统用来对输入进行清洁的函数 sanitize_text_field() 并未对单引号等特殊字符做任何处理，一个经验丰富的攻击者能轻松构造恶意输入，跳出预期的字符串，进而插入任何他想在服务器上执行的 PHP 命令 。

安全公司 Wordfence 报告称，他们已经拦截了超过 29,300 次漏洞利用尝试。在成功入侵后，攻击者通常会立即创建新的管理员账号来长期控制网站 。网站主们应格外留意服务器上是否有名称可疑的新管理员账户、陌生文件、异常的 eval() 执行记录，或是向未知 IP 地址的外连行为 。

企业如何进行自我防御？

针对 Stripe Magecart 盗刷攻击的防线

• 上锁谷歌标签管理器。 严格控制 GTM 容器，只允许经过审核、确认安全的标签，并要求任何容器发布都必须经过严格的变更审批 。
• 收紧你的内容安全策略（CSP）。 如非绝对必要，不要在 script-src 这项策略中将 api.stripe.com 加入到白名单里。如果一定要加，必须执行子资源完整性（SRI）哈希校验，并坚决禁止内联脚本（inline scripts），以此来增加攻击者注入脚本的难度 。
• 审计 Stripe 的沙盒环境。 定时检查 Stripe 仪表盘，看看测试模式下有没有出现异常的“客户”创建频率，或者不明来源的元数据更新。要将沙盒中的异动当成跟生产环境一样严肃的问题去追踪。
• 轮换并保护好各类 API 密钥。 无论是测试密钥还是实时密钥，都绝对不要把它写在网页前端 JavaScript、GTM 变量或任何公开代码库里 。任何有暴露可能的密钥都应立即轮换更新 。
• 部署前端代码完整性监测。 使用客户端安全监控工具，第一时间发觉结算页面是否有未授权的脚本在偷偷篡改页面信息或窃取输入数据 。

修补 Everest Forms Pro 的致命漏洞

• 火速更新！ 立刻把 Everest Forms Pro 插件升级到 1.9.13 或更新的版本，这是开发者修复该漏洞后的第一版 。
• 如暂不能更新，先关掉危险功能。 作为临时缓解手段，请马上去插件设置里把“复杂计算”（Complex Calculation）功能关掉，阻断通过未转义输入进行代码注入的通道 。
• 全面查杀“侵略者”留下的后门。 查找网站内是否有来路不明的管理员账号、可疑的 PHP 文件、异常的 eval() 执行记录，以及连接陌生 IP 的网络请求。更新后，务必对 WordPress 的核心文件、主题和所有插件的文件校验和做一次彻底扫描，确保环境干净 。