搜索

[10122] 2016-05-20_从安全漏洞看印度国家银行APP为何“技术落后10年”

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2016-05-20_从安全漏洞看印度国家银行APP为何“技术落后10年” 从 安 全 漏 洞 看 印 度 国 家 银 行 A P P 为 何 “ 技 术 落 后 1 0 年 ” 东 二 门 陈 冠 希   F r e e B u f   2 0 1 6 - 0 5 - 2 0 2 0 0 7 年 的 时 候 ， 我 在 印 度 最 大 的 国 有 银 行 中 的 一 家 注 册 了 一 个 账 号 ， 这 个 国 家 的 银 行 （ 政 府 或 者 民 营 ） 普 遍 所 使 用 的 技 术 与 当 前 水 年 的 时 候 ， 我 在 印 度 最 大 的 国 有 银 行 中 的 一 家 注 册 了 一 个 账 号 ， 这 个 国 家 的 银 行 （ 政 府 或 者 民 营 ） 普 遍 所 使 用 的 技 术 与 当 前 水 平 相 比 至 少 落 后 了 平 相 比 至 少 落 后 了 1 0 年 。 年 。 2 0 1 5 年 末 ， 我 账 号 所 在 的 银 行 与 外 包 公 司 合 作 ， 开 发 了 一 款 手 机 银 行 应 用 ， 分 为 安 卓 版 和 I O S 版 。 这 是 一 个 典 型 的 瑞 典 冬 天 的 周 末 ， 没 有 阳 光 的 迹 象 ， 所 以 我 决 定 留 在 室 内 ， 并 研 究 一 下 这 个 应 用 。 0 x 0 0     我 一 开 始 是 打 算 用 安 卓 来 进 行 测 试 的 ， 但 是 一 想 起 上 次 在 安 卓 上 安 装 一 个 自 签 名 证 书 （ 用 于 B u r p 监 听 ） 所 遇 到 的 挫 折 ， 我 果 断 选 择 了 i P h o n e 6 作 为 测 试 平 台 。 当 你 在 安 卓 上 安 装 自 签 名 证 书 时 ， 安 卓 会 一 直 提 醒 你 “ 第 三 方 证 书 已 被 添 加 到 您 的 设 备 的 信 任 库 ” ， 但 是 因 为 成 本 的 关 系 你 有 时 候 不 得 不 这 么 做 （ 在 企 业 环 境 或 者 测 试 环 境 中 ） ， 再 加 上 测 试 的 过 程 中 会 一 直 看 到 讨 厌 的 提 醒 信 息 “ 您 的 通 信 可 能 被 监 控 ” ， 所 以 I O S 是 最 好 的 选 择 ， 我 在 M a c B o o k   P r o 上 运 行 B u r p 用 来 作 为 代 理 服 务 器 。   0 x 0 1 B u r p 拦 截 到 的 初 始 请 求 显 示 了 与 a p p 进 行 通 信 的 主 机 名 和 端 口 ， 这 是 一 个 中 间 件 应 用 程 序 ， 之 所 以 会 这 样 ， 那 是 因 为 银 行 通 常 会 从 大 型 厂 商 购 买 软 件 ， 比 如 说 T C S   的 B a n c s 、 I n f o s y s   的 F i n a c l e , 、 O r a c l e   F i n a n c e   的 F l e x c u b e 。 因 为 这 个 手 机 银 行 a p p 是 由 多 个 不 同 的 外 包 公 司 合 作 开 发 的 ， 所 以 能 够 有 效 的 阻 止 核 心 A P I 的 曝 光 。 在 对 O p e n S S L 进 行 研 究 之 后 ， 我 发 现 这 个 中 间 件 使 用 的 是 S S L 3 . 0 ， 并 且 可 以 被 迫 降 到 S S L 2 . 0 。 我 尝 试 通 过 B u r p 添 加 一 个 自 签 名 证 书 用 来 抓 取 请 求 / 响 应 中 的 明 文 数 据 ， 结 果 发 现 很 成 功 的 就 抓 到 数 据 了 ， 这 说 明 a p p 没 有 使 用 “ 证 书 锁 定 ” 。 考 虑 到 这 是 一 个 银 行 的 手 机 应 用 ， 没 有 使 用 “ 证 书 锁 定 ” 就 是 一 个 史 诗 级 的 错 误 ！ 0 x 0 2  
这 显 然 是 一 个 不 符 合 规 范 的 架 构 或 者 说 是 不 够 到 位 的 代 码 审 查 的 案 例 。 这 个 a p p 的 初 始 请 求 是 向 服 务 器 确 认 是 否 有 可 用 的 更 新 ， 而 这 个 请 求 是 发 生 在 你 登 录 前 的 。 这 个 更 新 请 求 会 产 生 一 个 s e s s i o n   I D ， 这 个 s e s s i o n   I D 可 被 重 复 使 用 来 发 起 真 正 的 请 求 （ 比 如 说 查 询 账 户 余 额 ， 存 款 名 单 ） ， 而 这 样 的 行 为 是 只 有 用 户 登 录 后 才 能 发 起 的 ， 这 等 于 说 是 绕 过 了 密 码 验 证 。 下 图 是 我 在 未 验 证 登 录 的 情 况 下 通 过 构 造 数 据 包 来 进 行 账 户 查 询 的 图 像 。 而 且 我 说 了 这 个 s e s s i o n   I D 是 不 会 失 效 的 ， 请 继 续 往 下 阅 读 。 0 x 0 3   当 我 在 把 玩 这 个 a p p 时 ， 前 端 弹 出 了 一 个 窗 口 （ 操 作 时 间 即 将 到 期 ？ ） ， 询 问 我 是 否 要 重 新 登 录 或 者 退 出 当 前 窗 口 。 这 样 的 处 理 行 为 是 正 确 的 ， 我 想 知 道 这 个 计 时 是 不 是 只 在 前 端 进 行 的 ， 而 后 端 却 没 有 处 理 。 我 的 直 觉 是 对 的 ， 后 端 并 没 有 设 置 会 话 失 效 控 制 ， 所 以 除 非 客 户 端 调 用 A P I 销 毁 s e s s i o n ， 否 则 你 的 会 话 I D s 永 不 失 效 。 0 x 0 4   我 测 试 了 一 下 该 a p p 中 接 收 账 户 的 验 证 控 制 的 有 效 性 。 我 发 现 接 收 账 户 必 须 存 在 于 收 款 人 列 表 中 ， 如 果 这 个 账 户 不 在 收 款 人 列 表 中 ， 转 账 时 屏 幕 就 会 弹 出 错 误 ， 要 求 你 将 接 收 账 户 添 加 至 收 款 列 表 中 。 而 添 加 一 个 新 的 接 收 账 号 到 收 款 列 表 中 会 要 求 输 入 P I N （ M P T I N 会 在 0 x 0 5 提 到 ） 。 事 实 上 我 一 点 都 不 会 对 “ 这 个 验 证 是 在 前 端 进 行 ” 的 这 件 事 感 到 惊 奇 ， 所 以 直 接 通 过 C U R L 调 用 转 账 的 A P I 就 能 绕 过 接 收 人 / 受 益 人 账 户 验 证 ， 我 就 能 够 将 钱 转 账 到 不 在 我 的 受 益 人 列 表 中 的 账 户 。 原 本 我 还 想 测 试 其 他 的 关 键 的 流 程 （ 转 账 中 的 余 额 验 证 ， 转 账 限 制 ） ， 但 是 这 可 能 是 违 法 的 ， 所 以 我 只 能 跳 过 了 。 （ 从 收 到 的 来 自 银 行 的 响 应 数 据 ， 似 乎 能 看 出 我 上 面 提 到 的 关 键 流 程 的 验 证 都 是 在 前 端 验 证 的 ） 。 0 x 0 5   从 上 面 提 到 的 这 些 漏 洞 就 可 以 写 一 个 严 重 程 度 为 中 高 的 P O C 了 。 在 0 x 0 2 和 0 x 0 3 中 ， 只 需 要 5 行 代 码 就 能 枚 举 所 有 用 户 的 记 录 （ 当 前 账 户 余 额 和 存 款 ） 。
我 决 定 挖 掘 的 更 深 一 点 。 在 我 挖 掘 的 更 深 之 前 ， 我 要 先 解 释 一 下 此 应 用 程 序 的 身 份 验 证 机 制 。 这 里 有 两 个 P I N s （ 身 份 认 证 P I N [ M P I N ] , 交 易 授 权 P I N [ M T P I N ] ） 。 从 名 字 来 看 就 知 道 你 可 以 用 M P I N 来 进 行 登 录 ， 用 M T P I N 来 对 重 要 的 操 作 进 行 验 证 ， 比 如 添 加 一 个 接 收 账 号 到 受 益 人 名 单 中 ， 转 义 资 金 ， 创 建 一 个 新 的 定 期 存 款 ， 关 闭 现 有 的 定 期 存 款 。 这 个 应 用 中 的 用 户 名 为 你 的 用 户 I D [ C I D ] 当 请 求 被 反 序 列 化 后 ， 会 传 递 给 如 下 的 函 数 处 理 ：   你 发 现 错 误 了 吗 ？ 你 发 现 错 误 了 吗 ？ 问 题 出 现 在 ， 这 个 v a l i d a t e A u t h e n t i c a t o r 方 法 会 验 证 M T P I N 与 用 户 I D 对 应 的 M T P I N 是 否 匹 配 ， 这 两 者 的 值 都 是 由 用 户 提 交 的 ， 但 是 却 没 有 验 证 提 交 的 用 户 I D 或 者 M T P I N 是 否 属 于 当 前 发 送 者 。 所 以 通 过 使 用 我 的 用 户 I D 和 我 对 应 的 M T P I N ， 我 能 够 实 现 在 任 意 账 户 间 进 行 金 额 互 转 。 我 用 我 们 家 庭 中 的 账 户 进 行 了 测 试 ， 发 现 甚 至 一 些 没 有 开 通 网 上 银 行 或 者 手 机 银 行 的 用 户 也 能 通 过 这 种 手 段 进 行 转 账 。 如 下 面 的 图 片 ， 1 3 0 3 是 我 的 用 户 I D 的 后 4 位 ， 列 表 中 是 我 账 户 关 联 的 其 他 用 户 的 I D 。 （ S B - 存 款 账 号 ， R I P - 定 期 存 款 ） 。   如 下 是 我 做 的 一 个 成 功 的 交 易 。 你 可 以 看 到 我 构 造 了 一 个 请 求 ， 请 求 中 用 到 的 是 我 的 用 户 I D 和 我 的 M T P I N ， 但 是 发 送 者 账 户 （ 6 2 5 4 ） 却 不 是 我 的 。 （ =   =   作 者 的 图 挂 了 ， 各 位 脑 补 下 吧 ！ ）
我 快 速 的 用 b a s h 写 了 一 个 1 3 行 的 代 码 ， 供 给 银 行 或 者 外 包 进 行 测 试 。   0 x 0 6   用 手 机 银 行 进 行 转 账 时 ， 银 行 会 给 当 前 账 号 绑 定 的 手 机 号 发 送 短 信 即 时 通 知 ， 问 题 是 在 这 里 他 们 又 处 理 错 了 。 发 送 提 醒 短 信 的 代 码 和 上 面 的 代 码 是 类 似 的 ：   和 0 x 0 5 相 似 ， 要 发 送 提 醒 短 信 的 手 机 号 码 是 从 客 户 I D 中 获 取 的 ， 而 不 是 账 户 号 码 。 因 此 ， 当 攻 击 者 窃 取 了 受 害 者 的 资 金 后 ， 提 醒 短 信 会 发 送 到 攻 击 者 那 ， 而 不 是 受 害 者 。 （ 作 者 的 图 挂 了 ， 各 位 就 再 脑 补 一 次 吧 ！ ）   0 x 0 7 我 很 快 速 的 写 了 一 个 p o c ， 然 后 在 2 0 1 5 . 1 1 . 3 号 将 此 p o c 发 给 了 该 银 行 的 一 堆 总 经 理 、 副 总 经 理 、 I T 经 理 、 部 门 经 理 ， 一 个 礼 拜 过 去 了 都 没 有 收 到 任 何 回 复 。 8 天 后 ， 我 收 到 了 该 银 行 的 一 个 非 官 方 的 确 认 信 息 （ 该 银 行 的 一 个 中 层 经 理 ） 说 他 们 正 在 调 查 这 个 问 题 。 大 概 第 9 / 1 0 天 左 右 ， 开 发 该 a p p 的 外 包 公 司 的 副 总 裁 访 问 了 我 的 l i n k e d I n 主 页 。 最 后 在 第 1 2 天 的 时 候 ， 我 收 到 了 来 自 该 银 行 的 副 总 经 理 的 官 方 回 复 ， 他 们 基 本 上 采 用 了 我 提 交 的 漏 洞 修 复 建 议 。 这 让 我 有 点 惊 喜 的 同 时 也 让 我 感 到 害 怕 ， 他 们 居 然 用 了 1 2 天 的 时 间 来 回 应 我 ， 并 且 就 像 在 说 “ 嘿 ， 你 的 数 十 亿 身 价 存 款 有 风 险 ” ， 真 是 太 令 人 吃 惊 了 。
我 回 信 询 问 漏 洞 何 时 会 被 修 复 以 及 是 否 会 为 此 漏 洞 提 供 赏 金 ， 鉴 于 这 家 银 行 有 将 近 2 5 0 亿 美 元 的 存 款 （ 2 0 1 5 年 的 数 据 ） ， 为 什 么 不 尝 试 着 要 点 赏 金 呢 ， 但 是 就 如 预 期 的 一 样 ， 他 们 没 有 再 回 复 任 何 信 息 了 。 所 以 这 就 是 印 度 ， 这 么 大 的 漏 洞 所 以 这 就 是 印 度 ， 这 么 大 的 漏 洞 0 赏 金 ！ 赏 金 ！
* 参 考 来 源 ： b o r i s . i n / b l o g ， F B 小 编 东 二 门 陈 冠 希 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理