搜索

[8163] 2014-08-02_监控网络流量？支付宝安全控件“附赠”的可疑进程

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-17
2014-08-02_监控网络流量？支付宝安全控件“附赠”的可疑进程 监 控 网 络 流 量 ？ 支 付 宝 安 全 控 件 “ 附 赠 ” 的 可 疑 进 程 f u 4 k   F r e e B u f   2 0 1 4 - 0 8 - 0 2 阿 里 巴 巴 支 付 宝 的 一 个 进 程 A l i p a y b s m . e x e 被 怀 疑 监 控 网 络 流 量 ， 它 会 复 制 发 送 的 数 据 到 接 收 缓 冲 中 。 在 接 下 来 的 篇 幅 中 ， 我 要 讲 一 个 目 前 还 没 结 束 的 故 事 。 故 事 可 能 还 会 继 续 发 展 下 去 ， 也 可 能 因 为 我 的 懒 而 就 此 打 住 。 但 至 少 我 觉 得 目 前 已 经 有 足 够 有 意 思 的 信 息 可 以 让 诸 位 知 道 了 。 这 件 事 ， 跟 支 付 宝 有 关 ， 跟 （ 网 络 ） 信 息 安 全 也 可 能 有 一 这 件 事 ， 跟 支 付 宝 有 关 ， 跟 （ 网 络 ） 信 息 安 全 也 可 能 有 一 些 关 系 。 有 兴 趣 的 朋 友 ， 可 以 接 着 看 下 去 。 些 关 系 。 有 兴 趣 的 朋 友 ， 可 以 接 着 看 下 去 。 我 以 前 曾 写 过 一 个 服 务 器 P i n g 值 测 试 程 序 （ 参 见 这 里 《 写 了 个 批 量 测 试 服 务 器 P i n g 值 的 小 工 具 》 ） 。 这 个 程 序 一 直 都 能 满 足 我 的 需 要 ， 直 到 有 一 天 在 我 老 婆 的 笔 记 本 W i n 7   x 6 4 系 统 上 遇 到 了 问 题 ： 对 几 乎 所 有 的 对 几 乎 所 有 的 I P ， 我 这 个 程 序 的 ， 我 这 个 程 序 的 P i n g 都 很 快 收 到 都 很 快 收 到 了 回 应 ， 快 得 不 正 常 ， 几 乎 就 像 做 了 个 本 地 调 用 一 样 ， 与 实 际 情 况 不 相 符 。 了 回 应 ， 快 得 不 正 常 ， 几 乎 就 像 做 了 个 本 地 调 用 一 样 ， 与 实 际 情 况 不 相 符 。 于 是 我 打 算 看 看 这 是 怎 么 回 事 情 。 当 时 我 人 在 公 司 ， V C 6 远 程 调 试 又 不 方 便 。 最 后 靠 着 D b g V i e w 终 于 搞 清 楚 了 ： 接 收 到 的 数 据 中 ， 多 出 来 了 一 份 不 正 常 的 东 西 。 我 之 前 的 代 码 ， 并 没 有 估 计 到 这 份 不 正 常 的 数 据 可 能 会 出 现 ， 所 以 处 理 上 出 了 些 问 题 。 O K ， 这 算 是 我 的 B u g 。 可 这 “ 不 正 常 的 数 据 ” 到 底 是 什 么 东 西 ？ 我 把 它 D u m p 出 来 一 看 ， 还 真 是 有 点 奇 怪 ！ I C M P   T y p e 是 8 ， 源 地 址 和 目 的 地 址 则 与 预 期 的 E c h o 回 应 包 刚 好 相 反 。 算 上 s e n d t o 时 候 系 统 自 己 加 上 的 I P 包 的 包 头 ， 跟 我 送 去 发 送 缓 冲 区 里 的 数 据 那 是 一 模 一 样 。 要 解 决 我 程 序 里 的 这 个 问 题 非 常 简 单 。 但 是 另 一 个 问 题 就 不 那 么 好 回 答 了 ： 为 什 么 其 它 电 脑 上 不 会 这 样 ， 偏 偏 这 台 电 脑 会 出 现 这 种 奇 怪 的 事 情 ？ 直 接 答 案 很 简 单 — — 它 一 定 跟 别 的 电 脑 有 什 么 地 方 不 一 样 ！ 那 么 还 有 第 二 个 问 题 ： 到 底 是 什 么 地 方 不 一 样 呢 ？ 可 以 说 是 我 的 幸 运 ， 也 可 以 说 是 阿 里 集 团 的 不 幸 。 因 为 我 的 因 为 我 的 T a s k m g r 里 面 进 程 列 表 设 置 为 按 里 面 进 程 列 表 设 置 为 按 A S C I I 字 母 序 排 升 序 的 缘 字 母 序 排 升 序 的 缘 故 ， 我 很 快 就 找 到 了 这 第 二 个 问 题 的 答 案 ： 故 ， 我 很 快 就 找 到 了 这 第 二 个 问 题 的 答 案 ： A l i p a y b s m . e x e 。 。 杀 掉 A l i p a y b s m . e x e 这 个 进 程 ， 前 面 提 到 的 那 份 “ 不 正 常 的 数 据 ” 就 不 再 出 现 。 而 这 个 A l i p a y b s m . e x e 似 乎 由 A l i p a y S e c S v c . e x e 在 守 护 ， 过 了 一 会 儿 就 又 自 己 启 动 起 来 了 。 它 一 出 现 在 进 程 列 表 中 ， 我 一 试 ， 哈 ， 那 个 奇 怪 的 现 象 就 又 出 现 了 。 后 来 ， 我 把 这 事 情 在 T w i t t e r 上 说 了 一 下 ， 还 引 发 了 一 场 小 小 的 讨 论 。 我 目 前 还 没 完 全 想 明 白 A l i p a y b s m . e x e 这 样 做 的 目 的 是 什 么 。 初 步 感 觉 ， 有 可 能 是 跟 背 地 里 监 控 网 络 流 量 有 关 。 毕 竟 ， 目 的 地 址 不 正 确 的 数 据 ， 就 算 被 放 入 S o c k e t 接 收 缓 冲 里 面 ， 在 网 络 层 与 传 输 层 之 间 估 计 也 被 滤 掉 了 。 我 这 次 是 因 为 用 了 S O C K _ R A W ， 需 要 自 己 下 到 网 络 （ I P ） 层 来 处 理 数 据 ， 才 碰 巧 发 现 了 这 个 情 况 。 如 果 只 是 在 传 输 层 （ T C P / U D P ） 从 事 工 作 ， 估 计 不 会 有 任 何 察 觉 。 只 不 过 ， 反 过 来 讲 ， 如 果 能 做 到 复 制 数 据 到 S o c k e t 接 收 缓 冲 ， 那 应 该 完 全 可 以 做 到 监 控 流 量 而 不 带 任 何 痕 迹 才 对 。 所 以 我 目 前 还 只 能 理 解 为 ， A l i p a y b s m . e x e 想 完 全 监 控 网 络 流 量 ， 所 以 利 用 了 这 个 手 段 （ 复 制 发 送 的 数 据 到 接 收 缓 冲 中 ） ， 但 干 这 事 屁 股 没 擦 干 净 （ 也 可 能 没 法 擦 干 净 ） ， 才 产 生 了 我 遇 到 的 这 些 情 况 。 我 本 来 以 为 当 时 那 个 A l i p a y b s m . e x e 是 个 假 货 。 但 看 E X E 的 详 细 信 息 ， 以 及 绑 定 的 数 字 证 书 ， 都 像 是 支 付 宝 官 方 的 真 货 。 我 又
以 为 那 只 是 一 个 不 成 熟 的 版 本 ， 可 能 有 B u g ， 但 我 前 两 天 为 了 转 一 笔 账 ， 又 去 下 载 并 安 装 了 一 个 支 付 宝 安 全 控 件 ， 然 后 它 又 出 现 了 ， 带 着 它 那 奇 怪 的 行 为 又 出 现 了 。 所 以 ， 我 们 来 仔 细 看 看 这 货 吧 ： 看 上 去 挺 正 常 吧 ？ 在 T w i t t e r 上 讨 论 的 时 候 ， 有 人 表 示 ， 在 M a c 上 用 防 火 墙 没 观 察 到 有 这 个 现 象 。 为 此 ， 我 今 天 特 意 去 确 认 了 一 下 ： 在 W i n d o w s 上 抓 包 ， 也 观 察 不 到 这 个 现 象 。 我 估 计 ， 只 有 自 己 写 基 于 S O C K _ R A W 的 程 序 ， 才 能 收 到 这 些 数 据 。 为 了 检 查 这 种 特 殊 的 行 为 ， 我 专 门 写 了 个 小 程 序 A l i p a y b s m T e s t e r ， 基 本 上 就 是 一 个 单 地 址 单 次 单 线 程 的 P i n g T e s t e r 。
从 这 幅 截 图 中 可 以 看 到 ， M i c r o s o f t   N e t w o r k   M o n i t o r 只 抓 到 了 一 来 一 回 共 两 个 包 ， 但 我 的 测 试 程 序 发 了 一 个 包 收 到 了 两 个 ， 内 容 各 不 相 同 。 如 果 杀 掉 A l i p a y b s m . e x e ， 那 就 只 会 收 到 后 一 个 包 了 。 接 下 来 再 看 看 这 个 接 下 来 再 看 看 这 个 A l i p a y b s m . e x e 的 一 些 更 好 玩 的 事 情 ： 的 一 些 更 好 玩 的 事 情 ： 很 奇 怪 的 是 ， 它 其 实 并 不 是 随 着 “ 支 付 宝 安 全 控 件 ” （ A l i e d i t . e x e ） 装 上 去 的 。 当 你 登 录 支 付 宝 ， 根 据 W e b 页 面 上 的 提 示 安 装 了 “ 支 付 宝 安 全 控 件 ” 时 ， 只 会 在 P r o g r a m   F i l e s   ( x 8 6 ) a l i p a y 下 面 建 一 个 名 字 叫 a l i e d i t p l u s 的 目 录 。 但 是 过 一 会 儿 （ 我 这 次 过 了 3 0 分 钟 左 右 ） ， 在 a l i e d i t p l u s 下 面 会 出 现 一 个 u p d a t e 目 录 ， 并 下 载 一 个 S a f e T r a n s a c t i o n _ S e t u p . e x e 放 在 其 “ j o b f i l e t m p z i p _ 1 0 0 9 _ ” 子 目 录 中 （ 不 同 时 期 不 同 环 境 中 路 径 可 能 会 有 所 不 同 ） 。 随 后 P r o g r a m   F i l e s ( x 8 6 ) a l i p a y S a f e T r a n s a c t i o n 目 录 便 出 现 ， 里 面 就 有 A l i p a y b s m . e x e （ 当 然 还 有 一 些 别 的 ） 。 我 在 网 上 想 搜 一 下 关 于 这 个 A l i p a y b s m . e x e 或 S a f e T r a n s a c t i o n _ S e t u p . e x e 的 相 关 信 息 ， 发 现 少 得 可 怜 。 A l i p a y 官 方 完 全 没 有 提 到 过 这 些 东 西 ， 好 像 它 们 是 感 染 了 A I D S 的 私 生 子 一 样 。 不 过 每 个 安 装 了 支 付 宝 安 全 控 件 的 电 脑 上 ， 估 计 都 会 有 这 些 个 东 西 （ 还 有 个 A l i p a y D H C 也 值 得 注 意 ） 。 我 认 为 以 这 种 方 式 进 行 推 广 的 程 序 ， 很 可 能 另 有 其 目 的 ， 不 见 得 真 的 是 保 障 个 浏 览 器 我 认 为 以 这 种 方 式 进 行 推 广 的 程 序 ， 很 可 能 另 有 其 目 的 ， 不 见 得 真 的 是 保 障 个 浏 览 器 安 全 这 么 简 单 。 安 全 这 么 简 单 。 如 果 真 是 为 了 保 障 浏 览 器 安 全 ， 完 全 可 以 公 开 （ 乃 至 大 张 旗 鼓 地 ） 宣 传 ， 然 后 打 包 到 安 装 包 里 一 起 分 发 下 去 正 大 光 明 地 安 装 ， 不 是 吗 ？ P S :   我 后 来 发 现 ， 杀 掉 A l i p a y S e c S v c . e x e 也 会 导 致 复 制 数 据 包 的 现 象 中 断 ， 并 且 重 启 该 服 务 之 后 ， 恢 复 现 象 花 的 时 间 比 单 单 杀 掉 A l i p a y b s m . e x e 要 长 。 可 见 A l i p a y b s m . e x e 的 角 色 大 概 只 是 一 个 行 动 的 发 起 者 和 结 果 的 分 析 者 ， 具 体 对 流 量 实 施 监 控 的 行 为 ， 很 可 能 是 它 去 调 用 A l i p a y S e c S v c . e x e 中 的 某 些 个 服 务 来 完 成 的 。 这 说 明 对 于 “ 支 付 宝 安 全 控 件 ” 本 身 也 不 能 掉 以 轻 心 。 相 关 功 能 其 实 可 能 一 直 就 放 在 A l i p a y S e c S v c . e x e 中 ， 只 是 没 有 人 来 扣 扳 机 而 已 。 而 这 个 扣 扳 机 的 可 以 是 而 这 个 扣 扳 机 的 可 以 是 A l i p a y b s m . e x e ， 也 可 以 是 ， 也 可 以 是 别 的 谁 ， 那 谁 谁 谁 。 别 的 谁 ， 那 谁 谁 谁 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理