顶象学院首页>文章详情

没做代码混淆的电商网页,可能会泄露用户账号密码

2024-01-16|小象 4567

我们经常见到各类H5海报,产品展示、活动促销、招聘启事等。H5不仅能够无缝地嵌入App、小程序,还可以作为一个拥有独立链接地址的页面,直接在PC端打开,可以说良好跨平台适配。H5可以制作文字、图形、音频、视频,因此可以用于PC网站、手机网站、微站、Web App、轻应用、Web VR(虚拟现实大众化)。由于技术成熟,开发周期短,投入和维护成本低,兼容性好,因此被广泛应用于展示、营销、调查、游戏等等。

H5在给用户带来便利体验的同时,也让企业面临链接伪造、页面篡改、信息泄露、账号被破解、恶意劫持、薅羊毛等各类业务风险。顶象防御云业务安全情报中心的一项数据显示,在恶意爬虫盗取数据攻击中,H5页面遭遇攻击 占到总攻击量的46%,其次是小程序29%,然后是Web端占18%;App端占5%,其他平台占2%。

undefined

除恶意爬虫盗取数据外,薅羊毛、虚假账号注册和撞库攻击等攻击中,H5遭遇的攻击也是高发区。

H5是泄露账号和数据的重要渠道

H5为什么成为黑灰产攻击的首选平台?顶象防御云业务安全情报中心分析,主要是H5代码、结构、面临的风险以及制作者安全意识等问题。

1、页面代码多为“明文”方式。H5平台开发语言是JavaScript,所有的业务逻辑代码都是直接在客户端以某种“明文”方式执行。

2、自身架构存在安全缺陷。浏览器对H5的开发语言JavaScript有诸多限制,从某种程度上也削弱了H5在业务安全层面的防护能力。

3、公开层面有众多自动化工具。H5的页面结构透明,攻击者可以自行构造参数,使用脚本提交请求,即实现完全自动化。这些工具可以在不逆向JS代码的情况下有效实现页面自动化,完成爬虫或者薅羊毛的目的。

4、运营方安全意识淡薄。大部分其他野对H5的安全缺乏系统性的认识,线上业务追求短平快,没有在H5渠道构建完善的防护体系情况下就上线涉及资金的营销业务。

代码混淆是最佳的安全保护手段

针对H5的风险问题,需要专门的代码混淆工具来提升破解难度,以有效提升攻击者的破解成本。

H5代码混淆是H5安全保护的重要手段,能够对需要保护核心代码和敏感数据的H5应用是指对H5代码进行修改,使其难以阅读和理解,从而增加恶意攻击者进行逆向分析的难度。同时有效保护H5应用的安全,防止恶意攻击者窃取核心代码和敏感数据。

H5代码混淆的常见方法主要有四类,分别是将代码中的标识符(如变量名、函数名等)进行修改,使其难以识别的标识符混淆;将代码中的控制流结构进行修改,使其难以理解的控制流混淆;将代码中的数据结构进行修改,使其难以识别的数据结构混淆;将代码进行压缩,使其难以阅读的代码压缩。

顶象H5代码混淆通过对代码中的字符串、数字、正则表达式等统一转为字符串,然后对字符串进行随机拆分,并对拆分后的字符串进行倒序/随机密钥进行函数加密的随机加密。同时,打乱函数顺序,并自动更新混淆算法并更新JS到CDN,由此保障H5页面的安全。

顶象H5代码混淆支持字符串加密、字符串拆分、变量名混淆、控制流混淆、常量提取等多种混淆,还提供域名绑定、防调试等多种安全功能;其可兼容安卓、iOS、公众号、小程序、Web页 面等多种H5代码运行环境,提供命令行工具、webpack/gulp等打包插件,无缝对接各种打包流程。

基于AI的自适应代码混淆

作为顶象H5代码混淆的最新升级,顶象AI自适应代码混淆基于图神经网络技术,通过深度分析并提取代码的特征,能够根据不同代码块的特点,自动选择适合的方法进行混淆。大幅提升提高代码的逆向分析难度,有效降低50%的计算性能消耗。通过加密混淆引擎,对H5代码进⾏加密、混淆、压缩,可以⼤⼤增加H5代码的安全性,有效防⽌产品被⿊灰产复制、破解。

传统的H5代码混淆方法往往是通用的,拥有统一的结构和逻辑,对所有类型的H5代码都适用。只要被逆向工具破解,整套H5页面就被破解入侵。顶象AI自适应代码混淆能够对不同代码块进行混淆,短代码块、长代码块、简单代码块、复杂代码块等,基于深度分析并提取代码的特征,自动选择适合的方法进行混淆,大幅提高代码的逆向分析难度。

undefined

此外,传统的H5代码混淆中,为了混淆效果可能要牺牲掉计算性能。例如,对于一小段代码来说,使用指令替换混淆方法,就能达到较好的混淆效果,而且混淆后的代码对计算性能消耗也比较低;但对于一整段长代码来说,混淆程度比较低的方法整体的混淆效果往往不佳,因此常常被迫选择混淆程度比较高的混淆方法,比如虚假控制流+代码块分割混淆方法,但这些方法往往对计算性能消耗非常大,也就导致了代码运行效率低下。顶象AI自适应代码混淆,在保证混淆效果基础上,与传统混淆方法相比,降低约50%的计算性能消耗。

综合来看,顶象AI自适应代码混淆的优势主要体现在以下几个方面:

更高级的混淆效果。顶象AI自适应代码混淆能够根据不同代码块的特点,自动选择适合的方法进行混淆,大幅提高代码的逆向分析难度。

更低的计算性能消耗。顶象AI自适应代码混淆在保证混淆效果的基础上,有效降低了计算性能消耗,提高了H5的运行效率。

更高的兼容性。顶象AI自适应代码混淆支持安卓、iOS、公众号、小程序、Web页面等多种H5代码运行环境,具备极高的兼容性。

顶象AI自适应代码混淆可广泛应用于各类H5页面,尤其是金融、电商、游戏等行业,有效防止恶意攻击者进行逆向分析,保护H5应用的核心代码和敏感数据,从而保障业务安全。

微信扫码
获取方案价格

加入社群

扫码进群领
【业务安全】资料礼包

在线咨询
400-878-6123