恶意脚本攻击就在大家身旁
最近，Cloudflare公布了一项新作用，致力于维护网站免遭Magecart和别的根据JavaScript的恶意攻击。
通过在总体目标网站中引入恶意JavaScript脚本并将网站用户跳转至恶意网站，这也是一种很普遍的互联网攻击方式。总体目标用户在被跳转至恶意网站后，攻击者将可以表明垂钓表格、运用系统漏洞执行攻击或盗取用户递交的支付信息这些。
为了更好地在网站中引入恶意脚本，攻击者通常会将恶意内联JavaScript加上到网页页面中，在其操纵下加上外界恶意JavaScript依靠文档，或是在供应链管理攻击中毁坏目前的第三方脚本。
当JavaScript做为依靠项从外界部位载入时，在很多情形下，他们一般都不可能有个人去留意，尤其是当网站的用户感受沒有外界转变时，就更不可能有个人去了解他们了。
例如，Magecart攻击是根据引入恶意JavaScript来开展的，它可以盗取用户在网站上上传的银行信用卡信息内容。因为这种数据信息被悄悄地传送到远程控制部位，而用户的订购个人行为并不会被切断，用户不容易注意到一切奇特的物品，因而也不会向网站汇报出现异常产生。
这样一来，Magecart攻击主题活动
(https://www.bleepingcomputer.com/tag/magecart/page/4/)就可以悄悄地从总体目标用户那边盗取到银行信用卡信息内容，而好多个月乃至两年以后，攻击早已已经发生了
(https://www.bleepingcomputer.com/news/security/oxo-breach-involved-magecart-attack-that-targeted-customer-data/)，一切都早已来不及了。
Page Shield-维护网站免遭恶意脚本攻击
就在前几日，Cloudflare公布了一个新的安全性特点，即Page Shield，这一新功用可以检验由恶意JavaScript依靠造成的对于终端设备用户电脑浏览器的攻击。
Cloudflare表明：“大家的任务是幫助创建一个更快的互联网技术，在其中也牵涉到终端设备用户的电脑浏览器。在过去的的数年里，大家发觉对于终端设备用户电脑浏览器的攻击主题活动日趋经常。拥有Page Shield，大家将协助应用软件检验并减轻这种捉摸不定的攻击，以保证用户比较敏感数据的安全性。”
伴随着Page Shield的公布，Cloudflare逐渐应用一个“脚本监控器”专用工具，每每受维护网站上的来访者在网页中实行JavaScript依靠文档时，该专用工具都是会向Cloudflare汇报。
在这种汇报的幫助下，Cloudflare将搭建网站上采用的已经知道脚本的历史数据。当监测到一个新的脚本时，便会提示网站的管理人员，便于她们可以进一步调研。
根据应用脚本监控器，Web管理人员可以发觉来访者在其网站上载入的异常JavaScript文档，并迅速调研这种文档是不是具有恶意个人行为。
但值得一提的是，它并无法维护来访者不会受到在供应链管理攻击中改动的目前JavaScript依靠项的危害。
例如，一个网站以前载入过一个来自于https://www.example.com/js/harmless.js的JavaScript文档，而攻击者又以前改动过example.com上的文档，那麼脚本监控器将难以监测到这类改动个人行为，因而恶意编码将被容许在供应链管理攻击中实行。
因此Cloudflare也表明，她们准备在未来加上大量的作用，以保持在脚本內容产生变更或包括恶意签字时发送报警。
后话
总体来说，针对Cloudflare用户而言，这是一个令人激动的专用工具，可以协助检验您的网站是不是被黑客攻击以载入恶意JavaScript文档。
可是，此作用仅适用商业服务和公司定阅，而这些处在Pro或Free服务项目等级的用户将不能从该业务中获利。
假如您对检测新的网页页面屏蔽掉作用有兴趣，可以申请注册添加Cloudflare的Beta检测
(https://www.cloudflare.com/waf/page-shield/)。