CSS 掛馬攻擊原理與實戰：從百度空間蠕蟲看 Web2.0 樣式表漏洞（上）

前言

Web2.0 普及，網頁特效多給駭客可乘之機。發現用於特效的 CSS 代碼也可掛馬。諷刺的是，CSS 掛馬實源自防範 IFRAME 掛馬的 CSS 代碼演變而來。

安天實驗室阿楠：資深安全工程師，病毒分析多年。許多知名網站皆遭 CSS 掛馬入侵。印象最深的是百度空間 CSS 掛馬：推出不久，大量用戶收到「哈，節日快樂！熱烈慶祝2008… https://hi.baidu.com/XXXXX」站內信。因網址為百度空間且可能來自好友，用戶毫不猶豫點擊，結果感染蠕蟲並持續傳播。百度空間被迫發布官方聲明並大費周章清除惡意代碼。該事件利用百度空間 CSS 模板功能，透過變形 expression 在 CSS 中動態執行腳本，讓遠端惡意碼後台悄悄運行並發送大量偽造訊息。

建議點擊陌生連結多個心眼，大網站也可能被掛馬。上網最好用帶網頁木馬攔截功能的安全輔助工具。

駭客為何選擇 CSS 掛馬？

Web1.0 時代 IFRAME 掛馬是無奈之選：簡單 HTML 頁面手段有限，偽裝易被識破。Web2.0 互動式網站多，允許用戶設定/修改的部落格、SNS 社群提供豐富功能且允許用戶用 CSS 自由修改網頁，催生 CSS 掛馬流行。

小百科： CSS = Cascading Style Sheets（層疊樣式表）。主要目的將文件結構 (HTML) 與顯示分離，增強可讀性、結構更靈活。

駭客利用 CSS 掛馬時，借用網民對大網站信任，將惡意 CSS 掛到支援 CSS 的個性化頁面，訪問時惡意碼執行。如同去知名大醫院看病，信任醫院，但門診已被庸醫外包並利用信任欺騙。事後找醫院算帳，醫院一臉無辜。對安全工程師，CSS 掛馬排查是必備常識。

CSS 掛馬攻防實錄

主流方式：利用有漏洞的部落格/SNS 系統，將惡意 CSS 寫入支援 CSS 的個性化頁面。典型範例：

方式 1

Body {
  background-image: url('javascript:document.write("")')
}

background-image 定義頁面背景圖片。此為最典型 CSS 掛馬方式，配合 JavaScript 讓網頁木馬悄悄在用戶電腦運行。駭客將生成的網頁木馬放指定位置，再將惡意碼寫入掛馬網站頁面或其調用的 CSS 檔中。