免費參與·100+跨境活動 
免費下載·4000+跨境資料 
免費學習·2000+直播課程 
免費加入·15萬+賣家交流群 
2015-06-29 16:09
Magento是一套專業(yè)開源的電子商務(wù)系統(tǒng)，被眾多電商網(wǎng)站廣泛使用，在全球范圍內(nèi)使用者超過24萬，包括eBay，是廣受贊譽的全球最優(yōu)秀的電子商務(wù)系統(tǒng)。但最近，安全研究人員發(fā)現(xiàn)有黑客在Magento平臺植入惡意代碼來竊取信用卡數(shù)據(jù)。
雨果網(wǎng)獲悉，安全公司Sucuri研究者表示，攻擊者能夠收集到用戶向Magento平臺提交的所有數(shù)據(jù)，然后仔細過濾掉那些不像信用卡數(shù)據(jù)的信息。
Sucuri惡意軟件高級研究員Peter Gramantik表示，攻擊者將惡意代碼注入到Magento中，但具體流程還不清楚。攻擊者們似乎在利用Magento核心或者是某個廣泛使用的模塊/插件中的漏洞。
攻擊者能夠收集所有的POST請求，對它們進行分析，然后使用公鑰加密他們。如果POST參數(shù)符合要求，攻擊者就會把他們儲存下來。
竊取來的信用卡數(shù)據(jù)則保存在一個假的圖片文件夾里。這些圖片并不能顯示，用戶也無法下載。但是攻擊者可以下載并解密，然后獲悉Magento商務(wù)平臺上的所有支付信息。
Sucuri還發(fā)現(xiàn)了另一種從Magento竊取數(shù)據(jù)的方法，沒有上一種復(fù)雜，當然效果也要打折扣。攻擊者將惡意代碼樣本注入到Magento的結(jié)帳模塊中。這段惡意代碼顯示，信用卡數(shù)據(jù)在交易之前就已經(jīng)被搜集，然后以純文本形式被發(fā)送給攻擊者。
這些攻擊者似乎非常了解Magento的工作模式?！肮粽呤煜つK運行的方式和代碼，利用模塊中儲存的未經(jīng)保護的敏感數(shù)據(jù)竊取信息?！保ň幾g/雨果網(wǎng) 唐小玉 譯審 何志勇）
