做独立站这么多年,各种奇奇怪怪的问题都遇到过,但这还是首次遭遇这种大规模的 Carding Attack 攻击,短时间内一下子涌入 240 多无效订单,还有 20 多支付成功的。
事情是这样的:昨天晚上 18:39 分,媳妇坐在对面看电视剧,我在听 YouTube 视频,隐隐约约就听到 iPhone 的通知一直响,但是手机放的远一直没太在意。
直到我打开 Gmail 看邮件,好家伙,每隔几秒钟一封通知我信用卡支付失败的邮件就来了。一时间不知道如何是好,好在慌乱中还是不那么麻溜地打开了 Cloudflare 的 I’m under attach 保护,这才成功终止新的无效订单。
搜索了下 Carding Attack 是什么,但我还不知道中文怎么说,这不重要,总之就是骗子用其它地方搞来的一堆偷来的信用卡卡号然后跑到你网站来验证这些信用卡卡号是否有效。
如何防范 Carding Attack 呢?
其实我早就使用 reCaptcha for WooCommerce 插件保护了 WordPress 的用户注册、登录,密码找回页面,WooCommerce 的用户注册、登录、密码找回页面,还有评价、商品评价框,但唯独没有开启 WooCommerce 支付页面的保护,因为我嫌在 Checkout 页面添加 ReCaptcha 太影响支付体验,居然被人利用了。
赶紧在 Cloudflare 添加了个 WAF 规则,用于保护 WooCommerce 的 /checkout 页面,和 reCaptcha 一样,开启后确实有点点影响支付体验,但是 Cloudflare 可以自动排除一些没问题的访问者,访问者看不到,体验稍微好一些。
玩 WordPress 十多年,印象总有一次一个非生产力环境的站点被黑过之外,这还是第二次遇到被攻击的情况(那种垃圾评论的攻击就不提了),以后还是要多加小心才是。