搜索

[8224] 2014-08-26_走近科学：二维码真的安全吗

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2014-08-26_走近科学：二维码真的安全吗 走 近 科 学 ： 二 维 码 真 的 安 全 吗 夏 克 霆   F r e e B u f   2 0 1 4 - 0 8 - 2 6 二 维 码 自 普 及 以 来 ， 无 论 是 从 它 的 便 捷 性 ， 还 是 其 安 全 问 题 ， 一 直 都 是 公 众 关 注 的 焦 点 问 题 。 “ 码 ” 时 代 来 势 迅 猛 ， 不 可 阻 挡 ， 似 乎 一 夜 之 间 ， 二 维 码 即 遍 布 各 电 商 平 台 、 商 场 、 网 站 、 杂 志 、 甚 至 车 票 上 ， 二 维 码 迅 速 成 为 移 动 互 联 网 时 代 的 新 宠 儿 。 与 此 同 时 ， 借 助 二 维 码 进 行 传 播 的 手 机 病 毒 、 恶 意 程 序 也 日 益 增 加 ， 由 于 二 维 码 技 术 已 经 相 对 成 熟 ， 普 通 用 户 即 可 通 过 由 于 二 维 码 技 术 已 经 相 对 成 熟 ， 普 通 用 户 即 可 通 过 网 上 的 二 维 码 转 换 软 件 ， 任 意 合 成 二 维 码 ， 并 且 从 外 观 上 并 不 能 判 断 其 安 全 性 ， 这 就 更 加 方 便 了 黑 客 针 对 二 维 码 进 网 上 的 二 维 码 转 换 软 件 ， 任 意 合 成 二 维 码 ， 并 且 从 外 观 上 并 不 能 判 断 其 安 全 性 ， 这 就 更 加 方 便 了 黑 客 针 对 二 维 码 进 行 各 种 非 法 操 作 行 各 种 非 法 操 作 ， 用 户 一 旦 扫 描 了 嵌 入 病 毒 链 接 的 二 维 码 ， 其 个 人 信 息 、 银 行 账 号 、 密 码 等 就 可 能 完 全 暴 露 在 黑 客 面 前 ， 酿 成 的 后 果 可 想 而 知 。 而 随 着 2 0 1 4 年 三 月 份 央 行 紧 急 叫 停 二 维 码 支 付 ， 二 维 码 的 安 全 问 题 被 推 向 高 潮 。 下 面 结 合 笔 者 对 几 个 金 融 类 手 机 客 户 端 中 关 于 二 维 码 功 能 的 安 全 性 分 析 ， 来 看 一 下 二 维 码 支 付 存 在 的 典 型 安 全 漏 洞 。 （ 一 ） 某 著 名 股 份 制 银 行 二 维 码 漏 洞 （ 一 ） 某 著 名 股 份 制 银 行 二 维 码 漏 洞 该 银 行 中 关 于 二 维 码 的 功 能 有 两 处 ， 一 处 是 扫 一 扫 功 能 ， 另 一 处 是 我 要 收 款 中 的 二 维 码 功 能 。 如 下 图 所 示 （ 左 ： 扫 一 扫 功 能 ； 右 ： 我 要 收 款 功 能 ）
下 面 从 这 两 方 面 对 二 维 码 安 全 展 开 分 析 ： 下 面 从 这 两 方 面 对 二 维 码 安 全 展 开 分 析 ： 1 、 扫 码 分 析 ： 扫 码 逻 辑 暴 露 后 ， 扫 码 劫 持 变 得 非 常 简 单 ， 黑 客 可 以 在 用 户 进 行 扫 描 付 款 的 客 户 端 中 插 入 恶 意 代 码 ， 进 行 交 易 数 据 篡 改 ， 使 本 该 流 向 商 户 的 资 金 流 向 黑 客 。 扫 码 攻 击 如 下 图 所 示 ：
2 、 我 要 收 款 虽 然 该 银 行 对 收 款 的 二 维 码 存 储 的 信 息 进 行 了 加 密 ， 但 还 是 不 够 安 全 ， 仍 然 存 在 一 定 的 安 全 隐 患 ， 黑 客 可 以 利 用 二 维 码 的 特 性 和 该 A P K 的 其 他 漏 洞 ， 进 行 一 些 非 法 的 活 动 ， 下 图 模 拟 了 该 应 用 可 能 存 在 的 安 全 隐 患 。 （ 二 ） 支 付 宝 付 款 码 （ 二 ） 支 付 宝 付 款 码 支 付 宝 钱 包 做 了 两 种 付 款 码 ， 条 形 码 和 二 维 码 ， 下 面 对 二 维 码 的 生 成 逻 辑 进 行 了 简 单 的 分 析 。 支 付 宝 付 款 码 存 在 的 安 全 漏 洞 如 下 所 示 ：
（ 三 ） 某 大 行 扫 码 威 胁 （ 三 ） 某 大 行 扫 码 威 胁 该 银 行 手 机 客 户 端 获 取 二 维 码 有 两 种 方 式 ， 一 是 从 手 机 相 册 中 获 取 二 维 码 图 片 ； 二 是 进 行 扫 码 获 取 二 维 码 信 息 。 该 银 行 手 机 客 户 端 扫 码 安 全 漏 洞 如 下 图 所 示 ：
二 维 码 作 为 登 录 凭 证 、 流 量 入 口 、 身 份 凭 证 、 支 付 凭 证 等 ， 在 日 常 生 活 中 的 应 用 比 比 皆 是 ， 其 漏 洞 问 题 也 远 不 止 以 上 阐 述 的 这 些 ， 而 这 些 安 全 问 题 一 天 不 得 到 解 决 ， 我 们 的 隐 私 安 全 、 财 产 安 全 等 就 一 天 得 不 到 可 靠 保 证 ， 随 时 都 要 担 心 自 己 的 账 号 是 否 “ 被 ” 登 录 ？ 手 机 银 行 绑 定 的 银 行 卡 是 否 被 黑 客 攻 击 等 等 。 因 此 ， 如 何 为 二 维 码 安 全 打 造 一 套 可 靠 的 解 决 方 案 ， 让 二 维 码 支 付 在 安 全 的 环 境 下 恢 复 使 用 ， 是 当 下 亟 待 解 决 的 重 要 问 题 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理