超3.5万个网站遭入侵恶意脚本将用户重定向至赌博平台2025年2月20日一起大规模网络安全漏洞事件导致超过3.5万个网站遭到入侵攻击者在这些网站中植入了恶意脚本完全劫持用户的浏览器窗口并将其重定向至赌博平台。此次攻击主要针对华语使用地区最终落地页推广的是名为“Kaiyun”的赌博内容。攻击手段解析1. 恶意脚本的植入与加载c/side网络安全研究人员发现攻击者通过在受感染网站的源代码中插入一行简单的脚本标签来实施攻击。该脚本随后会加载更多的恶意代码。初始感染始于插入的脚本标签其引用的域名包括zuizhongjs[.]com、mlbetjs[.]com、ptfafajs[.]com等。例如以下代码被注入到数千个网站中受感染网站中注入的恶意脚本代码来源Cside一旦加载初始脚本会创建另一个脚本元素从类似deski.fastcloudcdn[.]com的域名中获取更多恶意代码。这些代码使用了设备检测技术并在500至1000毫秒之间随机延迟以规避自动化的安全扫描工具。2. 浏览器窗口的完全劫持此次攻击最令人担忧的是其对浏览器窗口的完全控制。研究人员指出恶意脚本会注入代码生成一个全屏的iframe将原始网站内容替换为攻击者的赌博平台。代码创建了一个覆盖整个屏幕的div元素并从类似“https://www.zuizhongjs[.]com/go/kaiyun1/ky.html”的URL加载内容。全屏劫持行为将用户重定向至中文赌博网站来源Cside攻击流程与防范建议1. 多阶段攻击的实施此次攻击通过多个阶段的代码执行来实现。在初始脚本加载后攻击者使用JavaScript函数检测用户的设备类型判断是否为移动设备或特定操作系统如iOS。这使恶意内容的投放更具针对性。例如代码包含了isMobile()和getIosVersion()等函数以针对特定设备定制有效载荷。脚本随后创建一个meta viewport标签确保恶意内容填满整个屏幕使用户无法访问原始网站。负责创建全屏覆盖的代码片段包括document.write语句该语句注入HTML和CSS将iframe绝对定位在整个页面上。2. 高级过滤机制部分攻击变种还被观察到实施了基于地区的过滤机制根据用户的IP地址显示不同内容某些用户会看到一条访问被阻止的消息并被告知联系所谓的支持渠道。这种复杂的过滤机制可能是为了减少安全研究人员的曝光或降低恶意域名的流量。3. 安全建议安全专家推测此次攻击可能与Megalayer漏洞有关。网站所有者应审核其源代码查找未经授权的脚本标签通过防火墙规则屏蔽恶意域名定期检查未经授权的文件修改实施内容安全策略限制并使用PublicWWW或URLScan等工具频繁扫描网站以发现恶意注入。通过采取这些措施网站所有者可以更好地保护其平台免受类似攻击的侵害。学习资源如果你是也准备转行学习网络安全黑客或者正在学习这里开源一份360智榜样学习中心独家出品《网络攻防知识库》,希望能够帮助到你知识库由360智榜样学习中心独家打造出品旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力熟练掌握基础攻防到深度对抗。1、知识库价值深度 本知识库超越常规工具手册深入剖析攻击技术的底层原理与高级防御策略并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等提供了独到的技术视角和实战验证过的对抗方案。广度 面向企业安全建设的核心场景渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点是应对复杂攻防挑战的实用指南。实战性 知识库内容源于真实攻防对抗和大型演练实践通过详尽的攻击复现案例、防御配置实例、自动化脚本代码来传递核心思路与落地方法。2、 部分核心内容展示360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式既夯实基础技能更深入高阶对抗技术。360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式既夯实基础技能更深入高阶对抗技术。内容组织紧密结合攻防场景辅以大量真实环境复现案例、自动化工具脚本及配置解析。通过策略讲解、原理剖析、实战演示相结合是你学习过程中好帮手。1、网络安全意识2、Linux操作系统3、WEB架构基础与HTTP协议4、Web渗透测试5、渗透测试案例分享6、渗透测试实战技巧7、攻防对战实战8、CTF之MISC实战讲解3、适合学习的人群‌一、基础适配人群‌‌零基础转型者‌适合计算机零基础但愿意系统学习的人群资料覆盖从网络协议、操作系统到渗透测试的完整知识链‌‌开发/运维人员‌具备编程或运维基础者可通过资料快速掌握安全防护与漏洞修复技能实现职业方向拓展‌或者转行就业‌应届毕业生‌计算机相关专业学生可通过资料构建完整的网络安全知识体系缩短企业用人适应期‌‌二、能力提升适配‌1、‌技术爱好者‌适合对攻防技术有强烈兴趣希望掌握漏洞挖掘、渗透测试等实战技能的学习者‌2、安全从业者‌帮助初级安全工程师系统化提升Web安全、逆向工程等专项能力‌3、‌合规需求者‌包含等保规范、安全策略制定等内容适合需要应对合规审计的企业人员‌因篇幅有限仅展示部分资料完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以在下方CSDN官方认证二维码免费领取【保证100%免费】