超3.5万个网站遭入侵：恶意脚本将用户重定向至赌博平台
2025年2月20日，一起大规模网络安全漏洞事件导致超过3.5万个网站遭到入侵，攻击者在这些网站中植入了恶意脚本，完全劫持用户的浏览器窗口，并将其重定向至赌博平台。此次攻击主要针对华语使用地区，最终落地页推广的是名为“Kaiyun”的赌博内容。
攻击手段解析
1. 恶意脚本的植入与加载
c/side网络安全研究人员发现，攻击者通过在受感染网站的源代码中插入一行简单的脚本标签来实施攻击。该脚本随后会加载更多的恶意代码。初始感染始于插入的脚本标签，其引用的域名包括zuizhongjs[.]com、mlbetjs[.]com、ptfafajs[.]com等。
例如，以下代码被注入到数千个网站中：
受感染网站中注入的恶意脚本代码（来源：Cside）
一旦加载，初始脚本会创建另一个脚本元素，从类似deski.fastcloudcdn[.]com的域名中获取更多恶意代码。这些代码使用了设备检测技术，并在500至1000毫秒之间随机延迟，以规避自动化的安全扫描工具。
2. 浏览器窗口的完全劫持
此次攻击最令人担忧的是其对浏览器窗口的完全控制。研究人员指出，恶意脚本会注入代码，生成一个全屏的iframe，将原始网站内容替换为攻击者的赌博平台。代码创建了一个覆盖整个屏幕的div元素，并从类似“https://www.zuizhongjs[.]com/go/kaiyun1/ky.html”的URL加载内容。
全屏劫持行为，将用户重定向至中文赌博网站（来源：Cside）
攻击流程与防范建议
1. 多阶段攻击的实施
此次攻击通过多个阶段的代码执行来实现。在初始脚本加载后，攻击者使用JavaScript函数检测用户的设备类型，判断是否为移动设备或特定操作系统（如iOS）。这使恶意内容的投放更具针对性。例如，代码包含了isMobile()和getIosVersion()等函数，以针对特定设备定制有效载荷。
脚本随后创建一个meta viewport标签，确保恶意内容填满整个屏幕，使用户无法访问原始网站。负责创建全屏覆盖的代码片段包括document.write语句，该语句注入HTML和CSS，将iframe绝对定位在整个页面上。
2. 高级过滤机制
部分攻击变种还被观察到实施了基于地区的过滤机制，根据用户的IP地址显示不同内容，某些用户会看到一条访问被阻止的消息，并被告知联系所谓的支持渠道。这种复杂的过滤机制可能是为了减少安全研究人员的曝光或降低恶意域名的流量。
3. 安全建议
安全专家推测，此次攻击可能与Megalayer漏洞有关。网站所有者应审核其源代码，查找未经授权的脚本标签，通过防火墙规则屏蔽恶意域名，定期检查未经授权的文件修改，实施内容安全策略限制，并使用PublicWWW或URLScan等工具频繁扫描网站，以发现恶意注入。
通过采取这些措施，网站所有者可以更好地保护其平台免受类似攻击的侵害。
学习资源
如果你是也准备转行学习网络安全（黑客）或者正在学习，这里开源一份360智榜样学习中心独家出品《网络攻防知识库》,希望能够帮助到你
知识库由360智榜样学习中心独家打造出品，旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力，熟练掌握基础攻防到深度对抗。
1、知识库价值
深度： 本知识库超越常规工具手册，深入剖析攻击技术的底层原理与高级防御策略，并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等，提供了独到的技术视角和实战验证过的对抗方案。
广度： 面向企业安全建设的核心场景（渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营），本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点，是应对复杂攻防挑战的实用指南。
实战性： 知识库内容源于真实攻防对抗和大型演练实践，通过详尽的攻击复现案例、防御配置实例、自动化脚本代码来传递核心思路与落地方法。
2、 部分核心内容展示
360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式，既夯实基础技能，更深入高阶对抗技术。
360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式，既夯实基础技能，更深入高阶对抗技术。
内容组织紧密结合攻防场景，辅以大量真实环境复现案例、自动化工具脚本及配置解析。通过策略讲解、原理剖析、实战演示相结合，是你学习过程中好帮手。
1、网络安全意识
2、Linux操作系统
3、WEB架构基础与HTTP协议
4、Web渗透测试
5、渗透测试案例分享
6、渗透测试实战技巧
7、攻防对战实战
8、CTF之MISC实战讲解
3、适合学习的人群
一、基础适配人群
- 零基础转型者：适合计算机零基础但愿意系统学习的人群，资料覆盖从网络协议、操作系统到渗透测试的完整知识链；
- 开发/运维人员：具备编程或运维基础者可通过资料快速掌握安全防护与漏洞修复技能，实现职业方向拓展或者转行就业；
- 应届毕业生：计算机相关专业学生可通过资料构建完整的网络安全知识体系，缩短企业用人适应期；
二、能力提升适配
1、技术爱好者：适合对攻防技术有强烈兴趣，希望掌握漏洞挖掘、渗透测试等实战技能的学习者；
2、安全从业者：帮助初级安全工程师系统化提升Web安全、逆向工程等专项能力；
3、合规需求者：包含等保规范、安全策略制定等内容，适合需要应对合规审计的企业人员；
因篇幅有限，仅展示部分资料，完整版的网络安全学习资料已经上传CSDN，朋友们如果需要可以在下方CSDN官方认证二维码免费领取【保证100%免费】
)
