搜索

[18130] 2020-09-03_渗透测试之业务安全体系设计

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-09-03_渗透测试之业务安全体系设计 渗 透 测 试 之 业 务 安 全 体 系 设 计 a k a 9 9   H A C K 之 道   2 0 2 0 - 0 9 - 0 3 业 务 安 全 业 务 安 全 业 务 安 全 从 流 程 设 计 维 度 可 划 分 为 账 户 体 系 安 全 、 交 易 体 系 安 全 、 支 付 体 系 安 全 、 用 户 信 息 存 储 安 全 。 后 者 对 普 通 用 户 而 言 基 本 属 于 透 明 状 态 ， 对 于 电 商 / 互 联 网 金 融 / 社 交 媒 体 更 多 面 临 的 业 务 安 全 风 险 集 中 在 账 户 / 交 易 / 支 付 三 个 维 度 内 。 1   账 户 体 系 安 全 账 户 体 系 安 全 账 户 体 系 安 全 在 具 体 的 业 务 细 分 中 ， 最 直 接 的 业 务 体 现 则 为 注 册 、 登 录 、 找 密 注 册 、 登 录 、 找 密 三 个 主 要 入 口 。 针 对 黑 产 或 灰 产 抑 或 “ 羊 毛 党 ” 的 技 术 面 分 析 主 要 有 以 下 攻 击 、 薅 羊 毛 行 为 。 1 . 1   垃 圾 注 册 垃 圾 注 册 垃 圾 注 册 主 要 指 通 过 程 序 程 序 或 者 纯 人 力 人 力 大 量 注 册 的 非 活 跃 账 号 ， 这 些 账 号 不 能 直 接 给 平 台 带 来 收 益 ， 却 在 一 定 程 度 上 提 升 运 营 成 本 。 账 号 本 身 可 能 给 注 册 行 为 人 带 去 部 份 收 益 。 P 2 P 金 融 行 业 在 注 册 投 资 回 报 现 金 时 ， 经 常 会 出 现 这 类 垃 圾 注 册 ； 电 商 电 商 行 业 主 要 用 于 虚 假 刷 单 ； 社 交 媒 体 社 交 媒 体 则 面 临 面 临 垃 圾 注 册 用 于 发 送 垃 圾 消 息 。 1 . 2   撞 库 攻 击 撞 库 攻 击 撞 库 风 险 在 登 录 、 注 册 、 找 密 等 普 遍 存 在 ， 目 前 “ 黑 产 ” 主 要 通 过 大 量 泄 漏 的 用 户 数 据 ， 在 这 些 潜 在 风 险 的 地 方 ， 进 行 账 号 检 存 检 存 操 作 ， 然 后 通 过 存 在 的 账 号 测 试 对 应 密 码 检 存 ； 或 者 寻 找 无 任 何 防 御 的 登 录 口 进 行 撞 库 。 1 . 3   盗 号 洗 号 盗 号 洗 号 这 类 风 险 就 不 做 多 过 多 描 述 ， 攻 击 手 法 略 多 。 1 . 4   验 证 码 安 全 验 证 码 安 全 验 证 码 在 设 计 之 初 即 为 区 分 人 与 机 器 ， 在 各 类 应 用 中 广 泛 使 用 用 于 防 护 自 动 化 攻 击 。 但 目 前 基 于 图 形 验 证 码 安 全 的 防 护 手 段 已 基 本 不 再 属 于 黑 产 的 障 碍 ， 众 多 的 O C R 产 品 以 及 更 为 通 用 的 人 工 码 平 台 ， 降 成 本 高 效 率 作 业 。 对 于 有 些 网 站 仅 采 用 手 机 验 证 码 认 证 作 为 区 分 正 常 用 户 与 “ 异 常 ” 用 户 ， 国 内 也 已 有 非 常 成 熟 的 * * “ 猫 池 ” * * 设 备 ， 提 供 在 线 手 机 打 码 测 试 。 对 于 团 购 类 、 快 车 等 平 台 ， 手 机 小 号 注 册 可 直 接 获 取 巨 大 利 益 回 报 。 举 例 ： 某 团 购 平 台 ， 对 于 普 通 用 户 购 买 某 火 锅 优 惠 券 需 要 7 9 元 ， 新 用 户 优 惠 价 格 只 需 要 4 9 元 。 该 平 台 对 于 业 务 风 控 做 了 设 备 指 纹 操 作 ， 但 依 然 可 以 通 过 模 拟 器 用 “ 手 机 码 ” 平 台 进 行 下 单 操 作 。 除 掉 小 号 成 本 5 块 ， 回 报 还 是 挺 诱 惑 的 。 验 证 码 安 全 参 考 1 . 5   信 息 重 放 信 息 重 放 登 录 / 注 册 / 找 密 等 入 口 ， 可 能 通 过 短 信 验 证 码 、 邮 箱 验 证 码 之 类 的 进 行 确 认 操 作 ， 如 果 末 对 操 作 进 行 次 数 及 频 率 上 的 限 制 ， 则 会 产 生 大 量 的 重 放 攻 击 。 另 外 ， 对 于 验 证 逻 辑 缺 陷 类 的 ， 例 如 s e s s i o n 末 及 时 删 除 ， 可 能 导 致 验 证 码 被 重 放 ， 绕 过 一 些 人 机 基 础 防 护 等 。
1 . 6   找 密 找 密 / 改 密 安 全 改 密 安 全 找 密 / 改 密 设 计 在 验 证 逻 辑 上 极 易 产 生 各 种 问 题 ， 找 密 密 钥 的 可 预 测 性 ， 找 密 逻 辑 缺 陷 可 直 接 修 改 收 信 邮 箱 ， 账 号 检 存 。 改 密 通 过 i d 进 行 可 能 修 改 他 人 的 密 码 ， 批 量 重 置 等 等 。 从 业 务 层 考 虑 还 有 找 回 他 人 的 密 码 导 致 财 产 损 失 。 具 体 举 例 ： 有 些 产 品 从 用 户 角 度 思 考 ， 提 供 更 人 性 化 的 找 密 服 务 ， 会 根 据 不 同 场 景 出 现 不 同 的 找 密 方 式 ， 在 末 严 格 验 证 身 份 的 情 况 下 或 设 备 指 纹 不 可 靠 等 ， 极 有 可 能 导 致 客 户 账 号 被 攻 击 。 案 例 及 资 料 1 . 7   信 息 泄 漏 信 息 泄 漏 业 务 层 的 信 息 泄 漏 ， 主 要 指 服 务 自 身 的 一 些 运 营 敏 感 数 据 泄 漏 。 比 如 客 户 交 易 的 c v v 码 ， 用 户 账 号 、 密 码 、 邮 箱 等 。 在 账 号 体 系 中 ， 该 类 泄 漏 非 常 常 见 ， 例 如 用 某 第 三 方 开 发 的 P 2 P 程 序 ， 在 登 录 时 用 户 账 号 存 在 的 情 况 下 ， 直 接 a j a x 返 回 该 用 户 的 密 码 密 文 、 手 机 号 、 邮 箱 等 等 信 息 。 攻 击 者 可 能 通 过 这 些 接 口 大 量 获 取 敏 感 信 息 。 2   交 易 体 系 安 全 交 易 体 系 安 全 交 易 体 系 安 全 主 要 在 电 商 、 金 融 类 发 生 实 际 交 易 的 场 景 下 出 现 ， “ 羊 毛 党 ” 或 者 问 题 商 家 在 交 易 体 系 中 ， 存 在 大 量 虚 拟 交 易 ， 信 息 作 弊 及 各 类 针 对 活 动 场 景 的 攻 击 。 2 . 1   刷 库 存 刷 库 存 刷 库 存 在 电 商 类 网 站 普 遍 存 在 ， 属 于 一 种 业 务 勒 索 型 攻 击 。 攻 击 者 通 过 大 量 购 买 库 存 产 品 ， 但 不 发 生 实 际 支 付 行 为 ， 让 正 常 用 户 无 法 正 常 购 买 。 通 过 相 对 较 成 本 低 的 价 格 带 动 数 据 增 长 的 新 商 户 而 言 ， 遭 遇 该 类 勒 索 型 攻 击 较 为 常 见 。 2 . 2   刷 单 刷 单 业 务 数 据 造 假 ， 这 种 已 形 成 比 较 成 熟 的 产 业 链 ， 目 前 玩 法 较 多 。 对 于 验 证 真 实 快 递 单 号 的 电 商 站 ， 随 便 都 能 相 互 买 到 这 类 单 号 。 2 . 3   活 动 作 弊 活 动 作 弊 电 商 类 网 站 在 “ 双 十 一 ” 之 类 的 各 种 特 殊 节 日 ， 会 推 出 大 量 的 游 戏 送 抵 用 券 ， 送 红 包 、 送 流 量 、 送 优 惠 券 等 等 活 动 。 如 某 送 流 量 活 动 ， 输 入 手 机 号 ， 鼠 标 点 击 鼓 达 某 个 阈 值 送 多 少 流 量 ， 攻 击 者 可 直 接 修 改 攻 击 者 可 直 接 修 改 j s 或 者 写 或 者 写 j s 自 动 模 拟 点 击 刷 活 动 自 动 模 拟 点 击 刷 活 动 。 再 比 如 ， 商 家 为 了 冲 销 量 ， 经 常 举 办 前 几 百 名 免 单 活 动 ， 攻 击 者 通 过 自 动 化 脚 本 秒 杀 商 品 ， 大 量 薅 这 羊 毛 。 这 直 接 导 致 商 家 销 售 产 品 存 在 大 量 恶 意 退 货 、 退 款 ， 对 于 正 常 用 户 而 言 ， 认 为 自 己 被 耍 猴 ； 对 于 商 家 投 资 成 本 带 来 的 回 报 与 预 期 有 较 大 出 入 。 2 . 4   刷 排 名 刷 排 名 商 家 通 过 某 些 手 段 ， 规 避 虚 拟 物 品 限 制 转 换 实 际 产 品 销 售 。 以 处 于 边 界 的 低 价 游 戏 产 品 ， 通 过 叫 “ 白 号 秒 单 ” ( 无 太 多 记 录 的 真 实 账 号 ) 的 手 段 ， 大 量 刷 销 量 ， 再 更 换 类 目 产 品 ， 保 持 各 类 目 都 在 销 量 靠 前 排 名 靠 前 ， 搜 索 推 荐 都 是 这 类 店 铺 ， 给 消 费 者 带 来 较 大 的 损 失 。 2 . 5   权 限 绕 过 权 限 绕 过 严 格 意 义 来 讲 业 务 安 全 与 传 统 w e b 安 全 重 叠 的 部 份 较 多 。 权 限 绕 过 这 里 主 要 指 的 是 ， 常 见 的 一 类 逻 辑 漏 洞 。 一 类 是 末 对 用 户 开 放 或 已 下 线 的 的 商 品 ， 通 过 i d 可 直 接 遍 历 到 该 商 品 ， 然 后 正 常 购 买 ； 另 一 类 主 要 指 ， 设 计 上 的 缺 陷 ， 比 如 有 些 卡 商 ， 在 发 的 充 值 券 存 在
一 定 程 序 的 可 推 测 ， 或 者 消 费 账 号 可 被 推 测 。 举 例 ， 某 游 戏 激 活 码 简 单 的 组 合 发 售 ， 用 户 可 通 过 暴 力 手 段 ， 直 接 用 末 购 买 的 激 活 码 激 活 游 戏 。 2 . 6   低 价 购 买 低 价 购 买 某 些 网 站 通 过 i d 等 手 段 进 行 价 格 判 断 ， 但 存 在 一 定 逻 辑 缺 陷 。 导 致 可 利 用 低 价 商 品 的 I D 号 购 买 高 价 值 的 商 品 。 2 . 7   恶 意 贷 款 恶 意 贷 款 该 种 主 要 存 在 于 P 2 P 类 的 金 融 行 业 ， 在 末 知 用 户 信 用 或 真 实 贷 款 身 份 下 存 的 的 一 类 贷 款 行 为 ， 导 致 坏 账 率 增 加 。 3   支 付 体 系 安 全 支 付 体 系 安 全 支 付 体 系 在 整 个 交 易 过 程 中 ， 视 为 业 务 安 全 里 最 重 要 的 环 节 ， 也 是 各 类 风 控 体 系 发 挥 巨 大 功 效 的 地 方 。 3 . 1   数 据 篡 改 数 据 篡 改 在 支 付 过 程 中 ， 验 签 不 严 的 情 况 下 ， 极 有 可 能 产 生 数 据 篡 改 伪 造 。 金 额 任 意 更 改 ， 溢 出 ， 负 金 额 等 等 各 种 场 景 。 3 . 2   高 并 发 缺 陷 高 并 发 缺 陷 交 易 类 重 放 攻 击 ， 高 并 发 的 情 况 下 末 对 用 户 操 作 行 为 加 锁 加 锁 ， 导 致 购 买 限 制 的 绕 过 。 比 如 ， 限 制 用 户 每 月 兑 换 3 次 流 量 ， 在 瞬 间 重 放 大 量 请 求 的 情 况 下 ， 可 能 同 时 成 功 兑 换 远 大 于 3 次 。 或 者 余 额 只 够 购 买 一 件 产 品 的 情 况 下 ， 高 并 发 发 生 交 易 成 功 ， 直 接 变 负 数 的 可 能 。 3 . 3   套 现 套 现 套 现 行 为 包 括 ： 信 用 卡 套 现 、 抵 用 券 套 现 、 类 似 “ 京 东 ” 白 条 类 信 用 产 品 套 现 。 利 用 平 台 信 用 卡 套 现 较 为 常 见 ， 尤 其 P 2 P 金 融 和 电 商 普 遍 存 在 ， 通 过 信 用 卡 支 付 - > 提 现 等 。 再 如 抵 用 券 套 现 ， 活 动 支 付 时 购 买 两 件 商 品 ， 其 中 一 件 商 品 价 格 用 抵 用 券 足 够 ， 另 外 一 件 走 卡 支 付 ， 这 样 就 可 直 接 无 风 险 套 现 抵 用 券 。 3 . 4   支 付 行 为 可 信 支 付 行 为 可 信 支 付 确 认 阶 段 ， 商 家 无 法 确 定 支 付 是 否 发 生 于 账 户 真 实 主 人 。 比 如 可 能 来 自 被 盗 账 户 的 支 付 动 作 ， 直 接 导 致 正 常 用 户 资 产 损 失 。 比 如 通 过 信 用 卡 购 买 商 品 的 后 付 费 用 户 ， 攻 击 者 利 用 盗 取 的 信 用 卡 绑 定 发 生 实 际 购 买 行 为 ， 平 台 在 接 受 绑 定 后 产 生 交 易 。 但 卡 的 真 实 主 人 申 报 该 购 买 无 效 ， 不 愿 支 付 费 用 。 交 易 已 经 发 生 ， 对 于 平 台 来 讲 就 直 接 造 成 次 产 损 失 ， 该 类 攻 击 并 不 鲜 见 。 4   其 它 业 务 安 全 其 它 业 务 安 全 4 . 1 垃 圾 评 论 垃 圾 评 论 垃 圾 评 论 在 社 交 类 应 用 中 大 量 存 在 ， 发 广 告 、 发 敏 感 信 息 、 灌 水 等 。 4 . 2   垃 圾 消 息 垃 圾 消 息
垃 圾 消 息 与 垃 圾 评 论 基 本 上 属 于 一 类 行 为 ， 在 社 交 网 站 、 电 商 网 站 ， 通 过 a p i 接 口 漏 洞 ， 推 送 广 告 、 钓 鱼 链 接 等 等 。 业 务 层 主 要 体 现 工 单 污 染 。 4 . 3   信 息 作 弊 信 息 作 弊 信 息 作 弊 主 要 指 各 类 投 票 数 据 、 集 赞 、 浏 览 量 、 粉 丝 等 通 过 c s r f 漏 洞 或 者 机 器 自 动 刷 等 ， 造 成 各 类 虚 拟 数 据 。 来 源 ： a k a 9 9 ， 若 侵 权 请 联 系 删 除 。 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理