加密的Cloudfront脚本被注入到我们的网站，并在我们的日志中导致js错误

Encrypted Cloudfront script getting injected to our site and causing js errors in our logs

本文关键字：我们 日志 错误 js 网站 脚本 Cloudfront 注入 加密      更新时间：2023-09-26

一个javascript错误开始出现在我们的日志中，并在很短的时间内(可能是我们的2-3个)爆发成数万个错误，然后消失。最初的错误可以追溯到这个神秘的javascript文件:https://d1ui18tz1fx59z.cloudfront.net/js/all/pd2.js?v=17。类似的错误昨天又弹出了另外2-3小时，相同的文件，但一个新的版本参数:https://d1ui18tz1fx59z.cloudfront.net/js/all/pd2.js?v=18。

有人知道这个文件是什么或者如何解码吗?这可能是XSS攻击吗?它是如何抛出错误在我们的js堆栈?

我刚在我管理的一个网站上看到这个。

该脚本是编码的，但很容易找到它展开的内容:

$ curl https://d1ui18tz1fx59z.cloudfront.net/js/all/pd2.js?v=18 > raw.js
$ sed -i 's/eval/console.log/' raw.js
$ node raw.js
[lots of output]

然后将输出输入http://jsbeautifier.org/，得到https://gist.github.com/jonleighton/562da353853cd7f2e701。

它绝对看起来像某种脚本来显示广告。我的猜测是，用户在受感染的计算机上浏览网站时，会将该脚本注入他们查看的页面。但我真的不知道，扩展剧本里也没有太多线索。

相关文章：