搜索

[9667] 2015-12-22_2013至2015年iOS平台网银应用安全性对比

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2015-12-22_2013至2015年iOS平台网银应用安全性对比 2 0 1 3 至 2 0 1 5 年 i O S 平 台 网 银 应 用 安 全 性 对 比 J a c k F r e e   F r e e B u f   2 0 1 5 - 1 2 - 2 2 针 对 分 布 在 不 同 地 理 位 置 上 的 一 些 重 要 银 行 的 针 对 分 布 在 不 同 地 理 位 置 上 的 一 些 重 要 银 行 的 i O S 平 台 网 银 应 用 ， 本 文 主 要 从 传 输 安 全 、 编 译 器 保 护 、 平 台 网 银 应 用 ， 本 文 主 要 从 传 输 安 全 、 编 译 器 保 护 、 U I W e b V i e w 、 、 数 据 存 储 、 日 志 文 件 、 二 进 制 文 件 等 方 面 研 究 了 它 们 的 安 全 性 ； 此 外 ， 本 文 还 将 这 次 的 研 究 结 果 与 数 据 存 储 、 日 志 文 件 、 二 进 制 文 件 等 方 面 研 究 了 它 们 的 安 全 性 ； 此 外 ， 本 文 还 将 这 次 的 研 究 结 果 与 2 0 1 3 年 进 行 的 针 年 进 行 的 针 对 相 同 银 行 的 对 相 同 银 行 的 A P P 安 全 性 结 果 进 行 对 比 ， 并 分 析 这 两 年 之 前 安 全 性 结 果 进 行 对 比 ， 并 分 析 这 两 年 之 前 i O S 平 台 网 银 应 用 安 全 性 的 整 体 发 展 。 平 台 网 银 应 用 安 全 性 的 整 体 发 展 。 前 言 前 言 2 0 1 3 年 ， 为 了 了 解 一 些 重 要 银 行 移 动 网 银 应 用 的 安 全 性 整 体 情 况 ， 我 决 定 开 展 一 项 研 究 。 在 这 篇 博 文 里 ， 我 将 展 示 最 新 的 研 究 结 果 ， 以 显 示 与 2 0 1 3 年 相 同 的 移 动 网 银 应 用 安 全 性 的 发 展 情 况 。 研 究 范 围 研 究 范 围 我 的 研 究 包 括 4 0 个 移 动 网 银 应 用 ， 其 中 它 们 在 全 球 地 理 位 置 分 布 如 下 图 ： 这 次 研 究 中 ， 我 所 采 用 的 指 标 与 2 0 1 3 年 的 研 究 中 相 同 ： 1 . 局 限 于 i O S 平 台 2 . 黑 盒 测 试 方 法 3 . 所 有 的 测 试 只 在 A P P 上 执 行 （ 客 户 端 ） ， 不 包 含 任 何 服 务 器 端 的 测 试 4 . 研 究 中 不 对 所 发 现 的 漏 洞 进 行 描 述 ， 同 时 也 不 介 绍 如 何 利 用 这 些 漏 洞
5 . 已 经 联 系 了 受 影 响 的 银 行 ， 并 向 其 报 告 了 相 关 漏 洞 测 试 测 试 针 对 每 一 个 A P P ， 进 行 了 下 面 的 测 试 ： 1 、 传 输 安 全 （ 1 ） 明 文 传 输 （ 2 ） 会 话 处 理 不 当 （ 3 ） 正 确 验 证 S S L 证 书 2 、 编 译 器 保 护 （ 1 ） 反 越 狱 防 护 （ 2 ） 以 P I E 进 行 编 译 （ 3 ） 以 栈 c o o k i e s 进 行 编 译 （ 4 ） 自 动 引 用 计 数 3 、 U I W e b V i e w （ 1 ） 数 据 验 证 （ 输 入 、 输 出 ） （ 2 ） U I W e b V i e w 实 现 4 、 不 安 全 的 数 据 存 储 （ 1 ） S Q L i t e 数 据 库 （ 2 ） 文 件 缓 存 （ 3 ） 属 性 列 表 文 件 （ 4 ） 日 志 文 件 5 、 日 志 记 录 （ 1 ） 自 定 义 日 志 （ 2 ） N S L o g 语 句 （ 3 ） 崩 溃 报 告 文 件 6 、 二 进 制 分 析
（ 1 ） 反 汇 编 应 用 程 序 （ 2 ） 检 测 汇 编 代 码 的 混 淆 保 护 （ 3 ） 探 测 反 篡 改 保 护 （ 4 ） 检 测 反 调 试 保 护 （ 5 ） 协 议 处 理 程 序 （ 6 ） 客 户 端 注 入 （ 7 ） 第 三 方 库 下 面 ， 我 将 从 两 方 面 展 示 这 次 的 研 究 结 果 ： 1 . 网 络 和 日 志 分 析 2 . 二 进 制 和 文 件 系 统 分 析 网 络 和 日 志 分 析 网 络 和 日 志 分 析 在 所 有 审 计 的 A P P 之 中 ， 1 2 . 5 % 没 有 验 证 所 用 S S L 证 书 的 真 实 性 ， 这 使 它 们 很 容 易 受 到 中 间 人 （ M I T M ） 攻 击 。 3 5 % 的 A P P 在 整 个 程 序 中 包 含 非 S S L 的 链 接 ， 这 使 得 攻 击 者 能 够 拦 截 流 量 ； 并 且 ， 在 攻 击 者 试 图 创 建 一 个 伪 造 的 登 录 提 示 窗 或 类 似 的 诈 骗 活 动 中 ， 他 们 能 够 注 入 任 意 J a v a S c r i p t 或 H T M L 代 码 。 3 0 % 的 应 用 程 序 没 有 验 证 传 入 的 数 据 ， 这 使 得 攻 击 者 通 过 不 安 全 的 U I W e b V i e w 实 现 就 能 进 行 J a v a S c r i p t 注 入 ， 从 而 发 起 客 户 端 攻 击 。 4 2 . 5 % 的 应 用 程 序 提 供 了 替 代 的 身 份 验 证 方 案 ， 以 此 来 减 小 泄 漏 用 户 凭 证 和 个 人 攻 击 的 风 险 。 通 过 系 统 日 志 或 自 定 义 日 志 暴 露 的 与 客 户 端 相 关 的 信 息 中 ， 4 0 % 的 A P P 仍 旧 泄 露 用 户 活 动 或 者 客 户 端 服 务 器 交 互 信 息 ， 例 如 来 自 服 务 器 端 的 请 求 和 响 应 。
2 0 1 3 年 到 2 0 1 5 年 之 间 的 进 化 ： 二 进 制 和 文 件 系 统 分 析 二 进 制 和 文 件 系 统 分 析 在 查 看 了 每 个 应 用 程 序 的 文 件 系 统 和 二 进 制 文 件 后 发 现 ， 7 . 5 % 的 A P P 仍 旧 没 有 采 取 一 些 编 译 器 的 保 护 措 施 ， 例 如 启 用 P I E 和 栈 粉 碎 （ S t a c k   S m a s h i n g ） 保 护 。 此 外 ， 只 有 1 5 % 的 应 用 程 序 有 越 狱 保 护 措 施 ， 以 此 来 检 测 并 通 知 最 终 用 户 越 狱 设 备 的 风 险 。 1 5 % 的 应 用 程 序 通 过 S Q L i t e 数 据 库 或 其 他 明 文 文 件 ， 将 未 加 密 的 敏 感 信 息 存 储 在 文 件 系 统 中 ， 比 如 客 户 银 行 账 户 和 交 易 历 史 的 详 细 信 息 。 最 后 ， 1 7 . 5 % 的 应 用 程 序 开 发 时 在 它 们 的 二 进 制 文 件 中 采 用 了 硬 编 码 。
2 0 1 3 年 到 2 0 1 5 年 之 间 的 进 化 ： 漏 洞 地 理 位 置 分 布 漏 洞 地 理 位 置 分 布

结 论 结 论 1 、 通 过 正 确 验 证 S S L 证 书 或 删 除 明 文 流 量 ， 大 部 分 应 用 都 提 高 了 数 据 传 输 的 安 全 性 ， 这 有 助 于 减 小 用 户 遭 受 M I T M 攻 击 的 风 险 。 2 、 虽 然 总 体 数 量 在 减 少 ， 但 仍 有 大 量 的 应 用 程 序 在 它 们 的 文 件 系 统 中 存 储 不 安 全 的 数 据 ， 所 以 他 们 中 的 很 多 人 仍 然 容 易 遭 受 客 户 端 攻 击 。 3 、 很 少 有 应 用 程 序 提 供 替 代 的 身 份 验 证 解 决 方 案 ， 而 仅 仅 依 靠 用 户 名 和 密 码 进 行 身 份 验 证 。 4 、 在 这 2 年 的 时 间 内 ， 虽 然 总 体 上 安 全 性 有 所 提 高 ， 但 这 还 不 够 ， 很 多 应 用 程 序 仍 然 很 脆 弱 ， 很 容 易 受 到 黑 客 攻 击 。 * 参 考 来 源 ： i o a c t i v e ， F B 小 编 J a c k F r e e 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . c o m ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理