漏洞暗链

2023年11月，漏洞暗链某跨境电商平台的漏洞暗链安全团队在例行扫描时发现，一个商品详情页的漏洞暗链图片加载请求指向了站外域名。点开一看，漏洞暗链缩略图正常显示，漏洞暗链返回的漏洞暗链HTTP状态码也是200。但把URL里的漏洞暗链参数逐个拆开，其中一个叫_t的漏洞暗链字段值是一串Base64编码。解码后，漏洞暗链是漏洞暗链一段JavaScript。

这就是漏洞暗链暗链。它不弹窗，漏洞暗链不跳转，漏洞暗链不劫持你的漏洞暗链首页。它只是漏洞暗链安静地躺在页面某个角落，等你触发特定条件——比如鼠标悬停超过三秒，或者页面滚动到某个位置。然后它开始工作：读取cookie、抓取表单输入、把数据塞进图片的EXIF信息里发出去。整个过程用户端毫无感知。

我见过最隐蔽的一个案例，藏在某政府网站的“无障碍浏览”功能里。攻击者把恶意代码拆成六段，分别塞进六个不同的CSS文件。单独看每个文件，都只是普通的样式定义，连语法检查都挑不出毛病。只有当浏览器同时加载这六个文件，并且页面DOM树达到特定结构时，这些片段才会在内存中被拼接执行。安全扫描器逐文件扫，永远扫不出来。

这类漏洞的利用成本极低。一个开源的C2框架，配合几行混淆代码，就能批量生成暗链。真正难的是发现。传统WAF看请求特征，暗链的请求长得跟正常资源加载一模一样。IAST看运行时行为，但暗链往往在用户交互后才激活，自动化爬虫根本触发不了。

去年有个做在线教育的客户找我，说他们的付费课程视频被人在第三方网站低价倒卖。查了一周没找到泄露源。我让他把播放页的源代码导出来，用diff工具跟三个月前的版本对比。多了个<link rel="prefetch">标签，指向一个伪装成CDN的域名。这个标签只在Chrome特定版本下才会实际发起预请求，而且请求头里带了用户的登录token。攻击者拿到token后，直接调用API批量下载视频。整个链条里，网站本身没有任何漏洞——没有SQL注入，没有XSS，没有文件上传。就是一行HTML标签的事。

暗链的可怕之处在于，它利用的是“正常功能”。prefetch是正常功能，CSS媒体查询是正常功能，Service Worker缓存也是正常功能。安全团队把这些功能一个个审过来，每个都符合规范。但把它们组合在一起，就成了一个数据外泄通道。

我自己的做法是，对所有出站请求做白名单。不是基于域名，而是基于“这个请求是否由用户主动触发”。用户点了一个按钮，发请求，放行。页面自己偷偷发的请求，不管目标域名多可信，一律拦截并记录。这套规则上线后，我们抓到了三个内部系统里的暗链，其中一个已经潜伏了十一个月。

别指望扫描器能替你解决这个问题。暗链的本质是逻辑漏洞，而逻辑漏洞的检测，目前还得靠人。靠人去看代码，靠人去想“这个功能如果被恶意利用会怎样”。工具能帮你发现已知的恶意模式，但暗链的每一个实例，几乎都是新的。

很赞哦!（16236）