javascript - 加密的 Cloudfront 脚本被注入(inject)到我们的站点并导致我们的日志中出现 js 错误

Question

一个 javascript 错误开始出现在我们的日志中，并在短时间内爆炸成数万个错误 - 可能是我们的 2-3 个错误 - 然后消失了。错误的根源可以追溯到这个神秘的 javascript 文件:https://d1ui18tz1fx59z.cloudfront.net/js/all/pd2.js?v=17 .昨天又弹出了一个类似的错误，又过了2-3个小时，同样的文件，但是一个新的版本参数:https://d1ui18tz1fx59z.cloudfront.net/js/all/pd2.js?v=18 .

有人知道这个文件是什么或如何解码吗？是否可能是 XSS 攻击？它是如何在我们的 js 堆栈中抛出错误的？

Answer 1

我刚刚在我管理的网站上看到了这个。

脚本已编码，但很容易找出它扩展到的内容:

$ curl https://d1ui18tz1fx59z.cloudfront.net/js/all/pd2.js?v=18 > raw.js
$ sed -i 's/eval/console.log/' raw.js
$ node raw.js
[lots of output]

然后我将输出输入 http://jsbeautifier.org/得到了https://gist.github.com/jonleighton/562da353853cd7f2e701 .

它看起来确实像是某种显示广告的脚本。我的猜测是，用户在受感染的计算机上浏览网站时会将此脚本注入(inject)到他们查看的页面中。但我真的不知道，扩展脚本中也没有太多线索。