Shopify 结账劫持自查
ctrlaltdylan/checkout-hijack-scan
用全新浏览器会话打开你的店铺, 加购一件商品, 点结账, 记录最终落到哪个网址和加载了哪些第三方脚本, 判断结账是否被注入的代码导向钓鱼页. 到结账页即停, 不填任何信息.
审核说明
Mmoveset 审核 · 2026-10-28 · 版本 b13476a · 编辑收录
- 注意
- 攻击指标清单只有 2026 年 10 月公开的那一波 (3 个域名和几个会话标记). PASS 不代表没有别的攻击, 装新应用后要重跑.
- 适合
- 担心应用里的自定义 JS 把买家导到假结账页.
- 不适合
- 别人的店铺; 全面的安全审计.
安装
从 GitHub 仓库 ctrlaltdylan/storefront-skills 的提交 b13476a 中, 只取 plugins/storefront-sec/skills/checkout-hijack-scan 目录, 放进当前项目的 .agents/skills/checkout-hijack-scan/ (Claude Code 再复制一份到 .claude/skills/checkout-hijack-scan/). 先不要运行里面的脚本, 装好后告诉我装到了哪里, 以及它需要什么环境.
固定版本 b13476a (2026-10-15), 就是审核扫描过的那一版
安装来自作者仓库, 不经过 moveset. 作者认领并托管到 moveset 后, 可以用 moveset install 安装并自动收到更新.
会碰什么
- 文件
- 3 个, 共 21 KBSKILL.md, 1 个 Node 脚本和 1 份攻击指标清单
- 运行环境
- Node.js 18+, 需要临时安装 Playwright 1.63.0 和 Chromium; 也可只用浏览器手动跑
- 联网
- 用浏览器访问你的店铺并走到 Shopify 结账页
- 扫描
- 通过, 无拦截项 · 与 moveset 出品用同一套扫描规则文件里没有出现网址
作者原文描述
Checks a Shopify store for checkout hijacking, where injected JavaScript sends shoppers to a fake checkout that steals card details.checkout-hijack-scan · SKILL.md · ctrlaltdylan/storefront-skills@b13476a
同类 Skill
全部社区 Skill →你也写了出海 Skill?
免费 Skill 现在就能提交, 审核通过后出现在这里. 已被收录的作者可以认领, 自己维护说明和版本; 做得好的, 可以和我们一起出 Pro 版, 按版税分成.