搜索

[9380] 2015-09-24_解析网购订单信息泄露的秘密

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2015-09-24_解析网购订单信息泄露的秘密 解 析 网 购 订 单 信 息 泄 露 的 秘 密 m c v o o d o o   F r e e B u f   2 0 1 5 - 0 9 - 2 4 相 信 很 多 人 都 曾 面 临 过 自 己 的 订 单 信 息 泄 露 引 起 的 诈 骗 或 者 骚 扰 电 话 、 典 型 的 机 票 改 签 骗 局 、 订 单 退 款 骗 局 等 等 。 相 信 很 多 人 都 曾 面 临 过 自 己 的 订 单 信 息 泄 露 引 起 的 诈 骗 或 者 骚 扰 电 话 、 典 型 的 机 票 改 签 骗 局 、 订 单 退 款 骗 局 等 等 。 每 次 大 家 都 很 愤 怒 的 认 为 电 商 平 台 在 出 卖 自 己 的 信 息 ， 然 而 事 实 上 是 怎 样 ， 我 想 从 我 负 责 订 单 信 息 泄 露 两 年 的 实 际 每 次 大 家 都 很 愤 怒 的 认 为 电 商 平 台 在 出 卖 自 己 的 信 息 ， 然 而 事 实 上 是 怎 样 ， 我 想 从 我 负 责 订 单 信 息 泄 露 两 年 的 实 际 经 历 来 谈 谈 我 的 看 法 。 经 历 来 谈 谈 我 的 看 法 。 要 了 解 订 单 究 竟 从 哪 里 泄 露 的 ， 要 看 整 个 产 业 的 流 转 情 况 。 我 们 下 单 买 一 个 东 西 ， 大 体 上 要 经 过 商 家 、 电 商 平 台 、 物 流 、 最 后 到 达 用 户 手 中 ， 所 以 这 四 个 环 节 都 有 可 能 产 生 订 单 信 息 泄 露 的 问 题 。 我 从 自 己 的 事 件 库 里 拉 出 来 我 们 自 己 的 一 个 分 析 ， 每 家 情 况 可 能 不 一 样 ， 仅 作 参 考 。
一 、 商 家 环 节 一 、 商 家 环 节 商 家 和 电 商 平 台 在 有 些 时 候 是 一 个 ， 但 在 中 国 是 有 很 多 第 三 方 卖 家 的 。 例 如 你 在 某 宝 买 充 气 女 朋 友 ， 某 宝 是 平 台 ， 而 卖 家 可 能 是 福 建 一 个 批 发 街 上 的 小 铺 子 。 也 就 是 自 营 和 第 三 方 商 家 的 区 别 ， 一 般 来 说 我 们 认 为 自 营 的 安 全 性 比 较 高 ， 而 第 三 方 商 家 则 参 差 不 齐 ， 存 在 较 大 的 风 险 。 在 实 际 工 作 中 ， 我 们 也 统 计 过 案 例 ， 实 际 上 看 到 的 数 据 ， 商 家 确 实 是 订 单 泄 露 最 主 要 的 原 因 。 但 这 只 是 基 于 我 们 自 己 的 数 据 来 看 。 商 家 信 息 泄 露 表 现 比 较 突 出 的 有 五 种 原 因 ： 1 、 内 部 倒 卖 。 、 内 部 倒 卖 。 内 部 员 工 倒 卖 订 单 数 据 分 为 两 种 情 况 ， 一 种 是 内 部 员 工 行 为 ， 另 一 种 则 是 黑 产 打 入 的 行 为 。 先 说 内 部 员 工 行 为 ， 一 个 小 型 商 家 对 员 工 的 录 用 ， 大 家 可 想 而 之 是 个 什 么 情 况 。 不 在 乎 学 历 ， 不 在 乎 背 景 ， 只 要 有 点 经 验 即 可 ， 而 且 待 遇 也 比 较 低 ， 员 工 流 动 也 大 ， 因 此 面 对 一 些 诱 惑 ， 很 容 易 去 倒 卖 数 据 ， 卖 了 几 批 数 据 后 就 跑 路 换 个 其 他 公 司 接 着 做 。 还 有 一 种 是 黑 产 打 入 ， 黑 产 直 接 派 一 些 人 去 应 聘 ， 然 后 拿 数 据 ， 也 是 干 一 阵 就 跑 。 对 付 这 种 倒 卖 行 为 ， 要 求 商 家 去 加 强 员 工 入 职 管 理 和 权 限 管 理 ， 但 对 于 这 么 小 的 商 家 ， 可 能 只 有 三 五 个 人 的 商 家 ， 很 难 谈 得 上 什 么 管 理 ， 更 谈 不 上 所 谓 的 权 限 控 制 。 一 个 大 的 平 台 ， 可 能 会 有 几 百 上 千 万 大 大 小 小 的 商 家 ， 这 个 管 理 难 度 不 亚 于 治 理 一 个 国 家 了 。 一 个 稍 微 可 行 的 办 法 是 ， 要 求 所 有 商 家 的 员 工 入 职 前 统 一 上 传 身 份 证 照 片 ， 然 后 建 一 个 库 ， 对 发 现 这 种 行 为 的 打 上 标 记 ， 禁 止 进 入 ， 只 不 过 ， 这 仍 然 取 决 与 商 家 的 管 理 水 平 ， 你 可 以 想 象 得 到 ， 商 家 会 随 便 应 付 一 下 。 但 至 少 比 没 有 要 好 一 些 ， 能 形 成 一 些 震 慑 力 。 2 、 木 马 病 毒 。 、 木 马 病 毒 。 商 家 的 员 工 有 时 候 会 接 待 一 些 声 称 有 大 订 单 的 人 物 ， 订 单 包 括 多 种 需 求 ， 所 以 会 需 要 员 工 接 收 订 单 文 件 ， 又 或 者 发 给 员 工 一 个 链 接 ， 而 木 马 病 毒 就 在 这 里 了 。 木 马 和 病 毒 会 潜 伏 下 来 监 控 员 工 电 脑 操 作 ， 获 取 订 单 软 件 系 统 信 息 的 帐 号 密 码 。 之 前 我 们 也 反 复 教 育 过 商 户 ， 不 要 使 用 Q Q 、 邮 箱 之 类 的 接 收 来 历 不 明 的 文 件 ， 但 是 面 对 这 个 群 体 ， 你 能 想 到 这 种 教 育 的 效 果 。 我 们 也 曾 经 考 虑 过 ， 给 商 户 的 电 脑 统 一 安 装 我 们 自 己 开 发 的 杀 毒 软 件 ， 但 这 是 一 个 很 大 的 工 程 ， 木 马 病 毒 又 会 不 断 变 形 产 生 对 抗 ， 等 于 要 成 立 个 防 毒 软 件 公 司 了 。 3 、 三 方 工 具 后 门 。 、 三 方 工 具 后 门 。 在 线 销 售 会 需 要 一 些 系 统 的 支 撑 ， 比 如 仓 库 管 理 、 订 单 管 理 、 面 单 打 印 等 ， 市 面 上 也 有 各 种 公 司 提 供 这 一 类 软 件 ， 这 种 软 件 水 平 也 参 差 不 齐 。 有 的 直 接 就 是 黑 产 这 种 人 开 发 的 ， 目 的 就 是 窃 取 订 单 信 息 。 还 有 的 属 于 安 全 能 力 薄 弱 ， 有 一 些 漏 洞 可 以 被 利 用 ， 但 是 单 一 的 某 个 软 件 漏 洞 还 不 够 可 怕 ， 现 在 很 多 公 司 为 商 家 提 供 一 揽 子 服 务 ， 订 单 系 统 的 服 务 器 都 在 云 上 ， 一 旦 突 破 就 是 一 个 大 群 体 订 单 泄 露 。 所 以 针 对 这 个 情 况 ， 我 们 做 了 两 件 事 ， 一 是 要 求 所 有 的 软 件 系 统 都 必 须 经 过 我 们 的 安 全 测 试 ， 否 则 不 给 接 口 ， 在 这 一 关 做 一 层 控 制 ， 但 这 也 还 不 够 ， 因 为 有 些 比 如 快 递 打 印 系 统 ， 是 不 需 要 直 接 调 用 我 们 的 接 口 的 ， 另 外 即 使 做 了 代 码 的 检 查 ， 也 仅 仅 是 软 件 级 的 ， 出 现 事 件 后 无 法 追 溯 到 底 哪 个 环 节 出 了 问 题 。 所 以 我 们 又 建 了 个 云 服 务 器 区 ， 建 议 商 家 和 软 件 提 供 商 迁 移 到 这 里 来 ， 这 样 一 旦 出 了 状 况 ， 我 们 能 通 过 日 志 分 析 查 找 根 源 。 例 如 曾 经 有 段 时 间 比 较 流 行 的 某 订 单 打 印 软 件 ， 按 正 常 功 能 ， 应 该 是 能 够 同 步 我 们 的 平 台 和 物 流 公 司 。 但 在 出 问 题 的 那 几 周 ， 物 流 公 司 反 馈 无 法 同 步 到 订 单 打 印 信 息 ， 而 欺 诈 分 子 就 会 利 用 这 个 时 间 进 行 电 话 欺 诈 。 根 据 这 个 疑 点 ， 我 们 停 用 订 单 打 印 软 件 后 ， 这 家 店 铺 的 客 户 订 单 欺 诈 明 显 消 失 。 4 、 弱 口 令 。 、 弱 口 令 。 我 们 会 给 商 户 提 供 一 个 在 线 的 订 单 管 理 平 台 ， 再 加 上 商 户 自 己 用 的 平 台 ， 都 会 存 在 弱 口 令 问 题 。 所 谓 弱 口 令 并 非 是 指 1 2 3 4 5 6 这 种 ， 而 是 由 于 商 户 员 工 的 流 动 性 ， 离 职 后 密 码 没 有 修 改 造 成 订 单 信 息 被 窃 取 。 我 们 也 曾 考 虑 过 做 短 信 校 验 ， 但 短 信 校 验 码 就 需 要 绑 定 手 机 ， 给 一 个 公 司 的 人 绑 定 手 机 存 在 着 实 际 的 操 作 困 难 。 后 来 我 们 采 用 了 证 书 机 制 。 但 这 也 只 是 解 决 了 自 有 平 台 的 问 题 ， 商 户 自 用 平 台 还 是 存 在 口 令 泄 漏 。 在 排 除 法 上 ， 一 旦 出 现 订 单 信 息
泄 露 反 馈 ， 立 刻 修 改 密 码 ， 由 此 来 判 断 是 否 是 由 于 口 令 问 题 引 起 。 5 、 无 线 与 监 听 问 题 。 、 无 线 与 监 听 问 题 。 很 多 公 司 都 用 的 是 小 型 家 用 无 线 路 由 器 ， 这 种 路 由 器 一 是 默 认 密 码 不 修 改 ， 二 是 自 身 有 漏 洞 。 这 样 黑 客 就 可 以 采 用 D N S 中 间 人 、 网 络 监 听 流 量 等 手 段 获 取 网 络 流 量 信 息 。 这 种 情 况 下 ， 改 系 统 密 码 、 上 云 服 务 其 实 都 没 有 用 处 ， 但 最 重 要 的 问 题 是 难 以 发 现 。 商 户 完 全 不 具 备 这 种 被 攻 击 的 发 现 能 力 ， 除 非 我 们 做 一 款 硬 件 安 全 路 由 分 发 给 商 户 。 商 户 这 端 的 风 险 ， 主 要 是 由 于 商 户 I T 水 平 、 管 理 水 平 较 低 造 成 ， 另 外 分 散 在 全 国 甚 至 海 外 。 所 以 如 果 要 完 全 解 决 商 户 端 的 风 险 ， 就 几 乎 意 味 着 我 们 要 替 商 户 包 办 一 切 ， 从 软 件 系 统 到 杀 毒 软 件 ， 从 无 线 路 由 再 到 人 员 管 理 ， 事 实 上 对 于 一 家 电 商 公 司 来 说 ， 是 几 乎 不 可 能 完 成 的 任 务 。 二 、 用 户 环 节 二 、 用 户 环 节 用 户 自 身 的 问 题 属 于 第 二 个 比 较 突 出 的 问 题 。 能 在 这 里 看 这 篇 文 章 的 ， 对 自 身 的 安 全 都 有 防 范 意 识 ， 但 对 于 小 白 用 户 ， 这 就 是 一 个 比 较 突 出 的 问 题 。 而 且 订 单 信 息 泄 露 最 终 的 受 害 者 也 是 用 户 ， 如 果 安 抚 不 好 处 理 不 当 ， 就 会 吃 官 司 。 用 户 这 里 比 较 突 出 的 是 问 题 ： 账 号 被 盗 、 木 马 病 毒 、 钓 鱼 、 无 线 。 1 、 、   账 号 被 盗 。 账 号 被 盗 。 这 个 很 容 易 理 解 ， 不 解 释 了 ， 值 得 一 提 的 是 目 前 主 要 是 撞 库 。 撞 库 这 个 事 情 ， 稍 微 有 点 技 术 实 力 的 电 商 都 会 用 各 种 手 段 来 防 御 ， 比 如 设 备 指 纹 、 I P 判 定 等 防 扫 号 。 2 、 、   木 马 病 毒 。 木 马 病 毒 。 主 要 是 手 机 端 的 比 较 突 出 ， 去 年 下 半 年 一 段 时 间 ， 我 们 发 现 接 近 7 0 % 的 订 单 信 息 泄 露 是 手 机 用 户 。 我 们 密 集 调 研 了 受 害 用 户 ， 发 现 在 手 机 上 确 实 存 在 安 卓 远 控 类 软 件 ， 但 种 类 十 分 繁 多 。 所 以 我 们 在 A P P 上 增 加 了 一 些 安 全 的 功 能 ， 对 其 中 一 些 数 据 做 了 特 殊 加 密 ， 对 启 动 环 境 进 行 了 判 断 。 3 、 、   钓 鱼 ， 伪 基 站 钓 鱼 是 一 种 。 钓 鱼 ， 伪 基 站 钓 鱼 是 一 种 。 另 外 是 社 工 类 的 钓 鱼 ， 冒 充 客 服 打 电 话 、 兼 职 招 聘 收 集 用 户 信 息 等 ， 其 目 的 也 主 要 是 为 了 得 到 账 号 。 4 、 、   无 线 ， 主 要 是 伪 热 点 收 集 信 息 。 无 线 ， 主 要 是 伪 热 点 收 集 信 息 。 用 户 这 的 问 题 都 比 较 容 易 理 解 ， 但 对 用 户 端 问 题 的 解 决 则 是 一 个 很 大 的 工 程 。 这 些 问 题 的 解 决 分 为 我 们 可 以 掌 控 的 和 不 能 掌 控 的 。 对 于 账 号 被 盗 、 木 马 病 毒 ， 基 本 上 我 们 还 可 以 提 供 对 应 的 解 决 方 案 。 但 对 于 钓 鱼 问 题 ， 整 体 上 已 经 完 全 绕 过 了 我 们 的 平 台 ， 钓 鱼 问 题 的 打 击 ， 又 可 以 专 门 写 一 篇 文 章 来 说 了 ， 一 般 是 快 速 发 现 、 合 作 关 闭 、 宣 传 教 育 。 但 是 ， 通 常 用 户 不 会 理 解 这 里 的 问 题 ， 总 是 将 责 任 归 于 电 商 平 台 。 会 产 生 投 诉 ， 甚 者 会 产 生 司 法 纠 纷 。 所 以 对 用 户 的 投 诉 处 理 要 慎 重 对 待 ， 某 些 特 殊 用 户 可 能 要 先 行 赔 偿 ， 出 现 危 机 要 有 公 关 处 理 。 三 、 物 流 环 节 三 、 物 流 环 节 物 流 端 其 实 也 和 商 户 一 样 ， 但 是 结 构 上 会 简 单 一 些 。 主 要 风 险 两 个 ： 1 、 、   内 部 倒 卖 。 内 部 倒 卖 。 有 倒 卖 系 统 数 据 的 ， 但 更 多 的 是 倒 卖 物 流 面 单 ， 倒 卖 物 流 订 单 的 特 点 是 地 域 化 比 较 集 中 ， 通 常 是 某 个 门 店 ， 所 以 很 容 易 归 类 发 现 。 而 且 主 要 集 中 在 一 些 代 理 加 盟 的 物 流 点 ， 管 理 比 较 松 散 。 2 、 、   系 统 漏 洞 。 系 统 漏 洞 。 关 于 系 统 漏 洞 大 家 见 得 就 多 了 ， 我 印 象 中 几 个 大 的 物 流 公 司 都 有 出 过 问 题 ， 攻 击 者 可 以 直 接 从 系 统 上 捞 取 物 流 信 息 。 对 物 流 公 司 的 泄 露 ， 一 是 宣 传 教 育 ， 二 是 专 项 打 击 ， 配 合 公 安 几 轮 打 下 来 ， 他 们 就 会 引 以 为 鉴 。 这 里 有 一 个 判 断 因 子 ， 有 些 情 况 下 ， 订 单 还 没 有 到 物 流 侧 ， 用 户 就 接 到 了 诈 骗 电 话 ， 所 以 在 调 查 的 时 候 要 问 清 楚 。 四 、 电 商 平 台 四 、 电 商 平 台
从 电 商 自 己 来 说 ， 泄 露 订 单 完 全 没 有 意 义 — 我 是 指 正 规 电 商 ， 不 是 那 种 骗 了 钱 就 跑 的 。 买 卖 这 些 订 单 其 实 赚 不 了 什 么 钱 ， 还 会 对 形 象 造 成 重 大 打 击 ， 带 来 无 穷 的 麻 烦 和 官 司 ， 完 全 得 不 偿 失 。 所 以 从 根 本 上 就 不 会 想 通 过 这 种 方 法 赚 钱 。 平 台 端 我 碰 到 的 问 题 主 要 分 为 两 类 ， 内 鬼 和 系 统 漏 洞 。 但 内 鬼 里 面 最 突 出 的 问 题 是 外 包 ， 所 以 我 单 拿 出 来 说 这 种 问 题 。 1 、 、   内 部 员 工 作 案 。 内 部 员 工 作 案 。 一 个 电 商 的 业 务 系 统 ， 能 够 接 触 到 用 户 订 单 的 人 实 在 太 多 ， 从 客 服 到 技 术 ， 到 数 据 平 台 ， 前 端 等 都 有 机 会 接 触 。 内 部 员 工 的 管 控 相 对 比 较 容 易 ， 一 个 是 匿 名 化 处 理 ， 所 谓 匿 名 化 处 理 ， 就 是 对 关 键 用 户 信 息 进 行 匿 名 或 模 糊 处 理 ， 即 使 员 工 接 触 到 也 无 法 联 系 对 方 ， 或 必 须 通 过 系 统 联 系 对 方 。 再 一 个 是 操 作 监 控 ， 如 果 要 偷 拿 订 单 信 息 ， 必 然 是 批 量 化 ， 而 不 是 个 别 单 一 订 单 ， 从 统 计 上 就 可 以 做 一 些 规 则 预 警 。 还 有 一 个 是 加 强 警 示 教 育 ， 一 旦 发 现 ， 从 重 处 理 绝 不 姑 息 。 内 部 员 工 作 案 的 几 率 比 较 低 ， 但 一 旦 出 事 就 是 大 事 ， 所 以 这 部 分 能 够 在 自 己 掌 控 的 地 方 要 处 理 好 。 2 、 、   外 包 员 工 。 外 包 员 工 。 外 包 员 工 的 作 案 大 家 在 媒 体 上 也 屡 见 不 鲜 ， 外 包 的 应 用 系 统 开 发 、 基 础 架 构 的 维 护 、 客 服 是 这 里 需 要 重 点 看 的 问 题 。 安 全 部 门 要 介 入 外 包 管 理 ， 从 最 开 始 的 立 项 就 要 保 证 外 包 无 法 接 触 到 敏 感 数 据 。 我 们 对 外 包 除 了 在 立 项 阶 段 ， 还 进 行 现 场 调 研 ， 确 定 外 包 公 司 的 环 境 能 够 满 足 我 们 对 安 全 的 要 求 ， 并 且 不 定 期 抽 查 ， 抽 查 一 定 会 让 你 有 惊 喜 。 3 、 、   自 身 的 系 统 漏 洞 。 自 身 的 系 统 漏 洞 。 这 里 我 要 提 的 几 个 点 ， 一 是 主 要 漏 洞 ： 防 扫 号 、 S Q L 注 入 、 越 权 / 遍 历 问 题 、 搜 索 引 擎 爬 取 ， 对 这 一 类 漏 洞 的 防 范 ， 就 看 企 业 的 基 本 功 了 ， 生 产 新 上 线 的 系 统 有 没 有 经 过 代 码 审 计 、 渗 透 和 扫 描 。 另 一 个 要 说 的 是 ， 其 实 主 站 问 题 大 家 都 比 较 重 视 ， 但 有 很 多 后 台 支 撑 系 统 ， 各 种 问 题 五 花 八 门 ， 当 企 业 做 大 以 后 ， 后 台 支 撑 系 统 出 的 问 题 不 比 主 站 少 ， 这 就 要 清 理 回 收 支 撑 系 统 ， 该 放 在 内 网 的 收 到 内 网 ， 该 关 的 关 ， 该 改 的 改 。   总 结 总 结 1 、   订 单 信 息 泄 露 的 渠 道 多 样 ， 有 很 多 渠 道 不 在 电 商 安 全 人 员 的 掌 控 之 内 ， 原 则 上 是 自 己 能 够 把 控 的 环 境 ， 一 定 要 控 制 好 。 2 、   控 制 不 到 的 地 方 ， 要 想 办 法 延 伸 服 务 ， 国 内 三 方 商 家 的 发 展 也 刚 刚 开 始 ， 不 可 能 做 到 十 分 规 范 化 的 操 作 。 这 时 候 安 全 人 员 要 从 技 术 上 做 一 些 辅 助 工 具 来 协 助 三 方 商 家 ， 而 不 是 一 味 地 指 责 。 在 这 种 延 伸 过 程 中 ， 可 以 壮 大 安 全 部 门 ， 提 高 安 全 人 员 的 能 力 ， 做 得 好 ， 还 有 可 能 赚 一 些 服 务 费 。 3 、   重 视 日 志 、 环 境 数 据 的 收 集 。 在 应 急 的 时 候 ， 日 志 是 泄 露 量 判 断 的 主 要 来 源 ， 也 是 攻 击 手 法 判 断 的 主 要 来 源 ， 没 有 这 个 ， 丢 人 都 不 知 道 丢 多 大 。 再 一 个 环 境 数 据 是 指 用 户 侧 、 三 方 商 家 侧 ， 用 了 哪 些 软 件 、 地 域 信 息 、 商 品 类 目 、 与 谁 合 作 都 需 要 纳 入 ， 因 为 很 多 事 件 不 是 在 短 期 内 能 够 判 断 清 楚 的 ， 把 一 定 量 的 用 户 或 商 家 订 单 泄 露 归 并 起 来 ， 就 能 从 环 境 数 据 上 找 到 共 同 点 ， 从 而 重 点 突 破 。 4 、   排 除 法 。 短 期 内 要 判 断 问 题 ， 可 以 从 排 除 法 下 手 ， 一 个 软 件 一 个 软 件 的 停 ， 然 后 看 效 果 。 5 、   综 合 解 决 方 案 。 所 有 的 订 单 信 息 泄 露 引 起 的 诈 骗 ， 有 一 个 点 至 关 重 要 ， 就 是 用 户 的 联 系 方 式 ， 没 有 联 系 方 式 诈 骗 就 无 法 进 行 。 但 在 商 家 、 物 流 与 客 户 的 交 易 中 ， 联 系 方 式 又 至 关 重 要 。 去 年 看 到 某 电 商 对 联 系 方 式 做 了 匿 名 化 处 理 ， 我 个 人 觉 得 是 一 个 比 较 好 的 切 入 方 式 ， 当 然 工 程 量 也 很 庞 大 ， 需 要 打 通 上 下 游 一 堆 环 节 。 但 如 果 能 够 彻 底 实 现 ， 黑 市 的 订 单 信 息 价 格 就 会 一 落 千 丈 。 b y   F r e e B u f 原 创 作 者 ： m c v o o d o o
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理