搜索

[8768] 2015-03-18_金融行业平台常见安全漏洞与防御

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-17
2015-03-18_金融行业平台常见安全漏洞与防御 金 融 行 业 平 台 常 见 安 全 漏 洞 与 防 御 F r e e B u f   2 0 1 5 - 0 3 - 1 8 微 信 号 ： 微 信 号 ： f r e e b u f 一 、 前 言 一 、 前 言 互 联 网 金 融 是 这 两 年 来 在 金 融 界 的 新 兴 名 词 ， 也 是 互 联 网 行 业 一 个 重 要 的 分 支 ， 但 互 联 网 金 融 不 是 互 联 网 和 金 融 业 互 联 网 金 融 是 这 两 年 来 在 金 融 界 的 新 兴 名 词 ， 也 是 互 联 网 行 业 一 个 重 要 的 分 支 ， 但 互 联 网 金 融 不 是 互 联 网 和 金 融 业 的 简 单 结 合 ， 而 是 在 实 现 安 全 、 移 动 等 网 络 技 术 水 平 上 ， 被 用 户 熟 悉 接 受 后 ， 适 应 新 的 需 求 而 产 生 的 新 模 式 及 新 业 的 简 单 结 合 ， 而 是 在 实 现 安 全 、 移 动 等 网 络 技 术 水 平 上 ， 被 用 户 熟 悉 接 受 后 ， 适 应 新 的 需 求 而 产 生 的 新 模 式 及 新 业 务 ， 目 前 除 了 常 见 的 网 上 银 行 、 第 三 方 支 付 ， 这 两 年 很 多 的 民 间 融 资 贷 款 平 台 也 逐 步 兴 起 ， 像 务 ， 目 前 除 了 常 见 的 网 上 银 行 、 第 三 方 支 付 ， 这 两 年 很 多 的 民 间 融 资 贷 款 平 台 也 逐 步 兴 起 ， 像 P 2 P 网 贷 、 众 筹 等 。 网 贷 、 众 筹 等 。 越 直 接 涉 及 到 金 钱 的 业 务 就 越 敏 感 ， 这 是 众 所 周 知 的 ， 平 台 的 运 作 除 了 建 立 在 强 大 的 资 金 链 之 外 ， 平 台 自 身 的 公 信 越 直 接 涉 及 到 金 钱 的 业 务 就 越 敏 感 ， 这 是 众 所 周 知 的 ， 平 台 的 运 作 除 了 建 立 在 强 大 的 资 金 链 之 外 ， 平 台 自 身 的 公 信 力 也 是 很 关 键 的 ， 在 陆 陆 续 续 的 一 些 金 融 平 台 出 现 过 安 全 问 题 后 ， 越 来 越 多 的 此 类 平 台 也 逐 步 意 识 到 安 全 的 重 要 力 也 是 很 关 键 的 ， 在 陆 陆 续 续 的 一 些 金 融 平 台 出 现 过 安 全 问 题 后 ， 越 来 越 多 的 此 类 平 台 也 逐 步 意 识 到 安 全 的 重 要 性 。 性 。 我 们 曾 经 受 邀 请 检 测 过 网 上 一 些 互 联 网 金 融 交 易 平 台 ， 在 检 测 的 过 程 曾 发 现 部 分 平 台 存 在 着 严 重 的 安 全 问 题 ， 在 本 期 的 技 术 专 题 中 我 们 将 针 对 所 发 现 过 的 一 些 常 见 的 安 全 问 题 进 行 总 结 ， 同 时 提 出 相 应 的 解 决 办 法 ， 希 望 对 开 发 的 人 员 代 码 安 全 能 力 有 所 提 高 。 二 、 安 全 漏 洞 剖 析 二 、 安 全 漏 洞 剖 析 2 . 1 统 计 统 计 我 们 对 曾 测 试 对 约 多 家 金 融 交 易 平 台 进 行 过 一 次 漏 洞 统 计 ， 除 了 常 见 的 一 些 如 注 入 、 跨 站 、 我 们 对 曾 测 试 对 约 多 家 金 融 交 易 平 台 进 行 过 一 次 漏 洞 统 计 ， 除 了 常 见 的 一 些 如 注 入 、 跨 站 、 C S R F 、 恶 意 上 传 等 、 恶 意 上 传 等 W e b 漏 洞 外 ， 部 分 金 融 平 台 在 业 务 功 能 上 存 在 着 严 重 的 风 险 ， 如 任 意 用 户 密 码 重 置 、 交 易 参 数 恶 意 篡 改 等 ， 与 常 见 的 注 漏 洞 外 ， 部 分 金 融 平 台 在 业 务 功 能 上 存 在 着 严 重 的 风 险 ， 如 任 意 用 户 密 码 重 置 、 交 易 参 数 恶 意 篡 改 等 ， 与 常 见 的 注 入 、 恶 意 上 传 不 同 ， 这 些 业 务 逻 辑 的 漏 洞 不 会 直 接 影 响 服 务 器 的 安 全 ， 但 却 会 直 接 影 响 用 户 的 资 金 、 账 号 的 安 全 ， 入 、 恶 意 上 传 不 同 ， 这 些 业 务 逻 辑 的 漏 洞 不 会 直 接 影 响 服 务 器 的 安 全 ， 但 却 会 直 接 影 响 用 户 的 资 金 、 账 号 的 安 全 ， 其 风 险 程 度 有 过 之 而 无 不 及 ， 若 被 黑 客 所 利 用 或 被 曝 光 ， 将 严 重 影 响 平 台 公 信 力 。 其 风 险 程 度 有 过 之 而 无 不 及 ， 若 被 黑 客 所 利 用 或 被 曝 光 ， 将 严 重 影 响 平 台 公 信 力 。 我 们 对 常 见 的 漏 洞 进 行 过 统 计 ， 发 现 其 中 越 权 操 作 的 占 比 最 高 ， 在 我 们 所 测 试 过 的 平 台 中 基 本 都 有 发 现 ， 包 括 任 意 查 询 用 户 信 息 、 任 意 删 除 等 行 为 ； 最 严 重 的 漏 洞 出 现 在 账 号 安 全 ， 包 括 重 置 任 意 用 户 密 码 、 验 证 码 暴 力 破 解 等 。 下 面 我 们 将 以 举
例 的 方 式 给 介 绍 一 些 常 见 的 安 全 问 题 以 及 其 解 决 方 法 。 2 . 2 越 权 操 作 越 权 操 作 漏 洞 描 述 漏 洞 描 述 平 行 权 限 越 权 操 作 其 实 是 一 种 较 为 常 见 的 安 全 漏 洞 ， 在 平 行 权 限 越 权 操 作 其 实 是 一 种 较 为 常 见 的 安 全 漏 洞 ， 在 O W A S P   T o p   1 0 中 也 有 所 提 及 ， 分 别 为 不 安 全 对 象 引 用 和 功 能 中 也 有 所 提 及 ， 分 别 为 不 安 全 对 象 引 用 和 功 能 级 别 访 问 控 制 缺 失 。 级 别 访 问 控 制 缺 失 。 其 中 不 安 全 对 象 引 用 指 的 是 平 行 权 限 的 访 问 控 制 缺 失 ， 比 方 说 ， A 和 B 两 个 同 为 一 个 网 站 的 普 通 用 户 ， 他 们 之 间 的 个 人 资 料 是 相 互 保 密 的 ， A 用 户 的 个 人 资 料 可 以 被 B 用 户 利 用 程 序 访 问 控 制 的 缺 失 恶 意 查 看 ， 由 于 A 用 户 和 B 用 户 之 间 是 一 个 同 级 的 账 号 ， 因 此 称 为 平 行 权 限 的 访 问 控 制 缺 失 。 功 能 级 别 访 问 控 制 缺 失 指 的 是 垂 直 权 限 的 访 问 控 制 缺 失 ， 比 方 说 ， A 账 号 为 普 通 账 号 、 B 账 号 为 管 理 员 账 号 ， B 账 号 的 管 理 页 面 时 必 须 是 以 管 理 员 权 限 登 录 后 方 可 查 看 ， 但 A 账 号 可 通 过 直 接 输 入 管 理 页 面 U R L 的 方 式 绕 过 管 理 员 登 录 限 制 查 看 管 理 页 面 ， 由 于 A 用 户 和 B 用 户 的 权 限 是 垂 直 关 系 ， 因 此 称 为 垂 直 权 限 的 访 问 控 制 缺 失 。 该 类 型 属 于 业 务 设 计 缺 陷 的 安 全 问 题 ， 因 此 传 统 的 扫 描 器 是 无 法 发 现 的 ， 只 能 通 过 手 工 的 渗 透 测 试 去 进 行 检 查 。 在 金 融 平 台 中 以 平 行 权 限 的 访 问 控 制 缺 失 较 为 常 见 。 案 例 案 例 在 金 融 交 易 平 台 中 ， 该 类 型 的 安 全 漏 洞 主 要 出 现 在 账 号 余 额 查 询 ， 账 号 个 人 资 料 篡 改 等 功 能 上 。 下 面 我 们 通 过 几 个 简 单 的 案 例 给 大 家 进 行 说 明 ⑴ ⑴   任 意 修 改 用 户 资 料 任 意 修 改 用 户 资 料 某 交 易 平 台 的 用 户 可 以 通 过 该 系 统 的 个 人 资 料 修 改 页 面 修 改 个 人 的 昵 称 和 头 像 。 截 取 发 送 修 改 请 求 的 数 据 包 抓 取 进 行 分 析 。 我 们 发 现 在 提 交 的 过 程 中 ， 其 实 请 求 自 带 了 一 个 隐 藏 的 参 数 i n v e s t o r . l o g i n N a m e ， 其 实 i n v e s t o r . l o g i n N a m e 为 登 录 的 手 机 号 码 （ 或 用 户 名 ） ， i n v e s t o r . N a m e 为 重 置 的 用 户 名 ， 通 过 直 接 修 改 掉 参 数 i n v e s t o r . l o g i n N a m e 为 任 意 注 册 的 用 户 名 或 者 手 机 号 码 ， 即 可 成 功 篡 改 重 置 该 用 户 的 用 户 名 。 ⑵ ⑵   任 意 查 询 用 户 信 息 任 意 查 询 用 户 信 息 在 对 金 融 交 易 平 台 测 试 的 过 程 中 ， 我 们 发 现 大 部 分 平 台 并 未 对 查 询 功 能 进 行 优 化 ， 使 用 用 户 的 u i d 之 类 的 账 号 标 志 参 数 作 为 查 询 的 关 键 字 ， 并 且 未 对 查 询 范 围 进 行 控 制 ， 导 致 出 现 任 意 信 息 查 询 的 安 全 漏 洞 。 该 类 型 漏 洞 在 手 机 客 户 端 较 为 常 见 ， 如 在 某 交 易 平 台 手 机 商 城 就 发 现 了 任 意 查 询 其 他 用 户 信 息 的 安 全 问 题 。
当 点 击 商 城 的 个 人 资 料 修 改 处 ， 系 统 会 通 过 将 当 前 用 户 的 当 点 击 商 城 的 个 人 资 料 修 改 处 ， 系 统 会 通 过 将 当 前 用 户 的 p h o n e _ c l i e n t _ u u i d 提 交 到 服 务 器 进 行 查 询 ， 调 出 个 人 资 料 的 提 交 到 服 务 器 进 行 查 询 ， 调 出 个 人 资 料 的 内 容 内 容 但 由 于 系 统 并 未 对 该 功 能 进 行 访 问 控 制 ， 导 致 可 通 过 遍 历 u u i d 的 方 式 查 询 平 台 中 任 意 用 户 的 资 料 ， 通 过 工 具 对 p h o n e _ c l i e n t _ u u i d 的 后 5 位 进 行 爆 破 尝 试 ， 如 下 图 ： 通 过 对 返 回 值 的 l e n g t h 进 行 筛 选 ， 发 现 成 功 爆 破 部 分 p h o n e _ c l i e n t _ u u i d 所 对 应 的 用 户 信 息 。 代 码 防 护 代 码 防 护 针 对 平 行 权 限 的 访 问 控 制 缺 失 ， 我 们 建 议 使 用 基 于 用 户 或 者 会 话 的 间 接 对 象 引 用 进 行 防 护 针 对 平 行 权 限 的 访 问 控 制 缺 失 ， 我 们 建 议 使 用 基 于 用 户 或 者 会 话 的 间 接 对 象 引 用 进 行 防 护 ， 比 方 说 ， 一 个 某 个 选 项 包 含 6 个 授 权 给 当 前 用 户 的 资 源 ， 它 可 以 使 用 一 串 特 殊 的 数 字 或 者 字 符 串 来 指 示 哪 个 是 用 户 选 择 的 值 ， 而 不 是 使 用 资 源 的 数 据 库 关 键 字 来 表 示 ， 数 字 和 字 符 串 的 生 成 可 以 结 合 账 号 信 息 进 行 生 成 ， 使 得 攻 击 者 难 以 猜 测 生 成 的 方 式 。 针 对 垂 直 权 限 的 访 问 控 制 缺 失 ， 我 们 建 议 可 以 使 用 缺 省 拒 绝 所 有 的 访 问 机 制 针 对 垂 直 权 限 的 访 问 控 制 缺 失 ， 我 们 建 议 可 以 使 用 缺 省 拒 绝 所 有 的 访 问 机 制 ， 然 后 对 于 每 个 功 能 的 访 问 ， 可 以 明 确 授 予 特 定 角 色 的 访 问 权 限 ， 同 时 用 户 在 使 用 该 功 能 时 ， 系 统 应 该 对 该 用 户 的 权 限 与 访 问 控 制 机 制 进 行 校 对 。 2 . 3 任 意 重 置 用 户 密 码 任 意 重 置 用 户 密 码 漏 洞 描 述 漏 洞 描 述
在 众 多 的 交 易 平 台 中 ， 在 众 多 的 交 易 平 台 中 ， N S T R T 发 现 任 意 重 置 用 户 密 码 这 类 型 的 问 题 也 较 为 普 遍 ， 主 要 是 出 现 在 密 码 找 回 、 邮 箱 验 证 发 现 任 意 重 置 用 户 密 码 这 类 型 的 问 题 也 较 为 普 遍 ， 主 要 是 出 现 在 密 码 找 回 、 邮 箱 验 证 等 方 面 ， 部 分 漏 洞 从 技 术 原 理 来 说 上 来 说 它 与 越 权 操 作 时 相 似 的 ， 即 用 户 越 权 去 修 改 其 他 用 户 的 信 息 ， 如 密 保 电 等 方 面 ， 部 分 漏 洞 从 技 术 原 理 来 说 上 来 说 它 与 越 权 操 作 时 相 似 的 ， 即 用 户 越 权 去 修 改 其 他 用 户 的 信 息 ， 如 密 保 电 话 、 密 保 邮 箱 等 话 、 密 保 邮 箱 等 ， 由 于 它 敏 感 性 所 以 我 们 将 它 归 纳 成 一 类 进 行 探 讨 。 案 例 案 例 绕 过 短 信 验 证 码 绕 过 短 信 验 证 码 基 本 所 有 的 金 融 交 易 平 台 都 有 短 信 找 回 密 码 的 功 能 ， 但 部 分 短 信 验 证 的 功 能 较 为 不 完 善 导 致 可 被 利 用 重 置 任 意 用 户 基 本 所 有 的 金 融 交 易 平 台 都 有 短 信 找 回 密 码 的 功 能 ， 但 部 分 短 信 验 证 的 功 能 较 为 不 完 善 导 致 可 被 利 用 重 置 任 意 用 户 的 账 号 ， 同 样 是 某 金 融 平 台 的 实 际 案 例 ： 的 账 号 ， 同 样 是 某 金 融 平 台 的 实 际 案 例 ： 在 已 知 对 方 用 户 名 和 手 机 号 码 的 情 况 下 ， 通 过 站 点 的 密 码 找 回 功 能 可 绕 过 短 信 验 证 码 直 接 重 置 该 账 号 密 码 。 下 图 为 密 码 重 置 页 面 ： 该 漏 洞 出 现 主 要 的 原 因 在 于 开 发 人 员 在 第 二 步 设 置 新 密 码 时 服 务 端 没 有 对 手 机 验 证 码 进 行 二 次 校 验 ， 导 致 当 攻 击 者 可 以 利 用 修 改 返 回 值 的 方 式 直 接 跳 转 到 设 置 新 密 码 页 面 ， 然 后 重 置 用 户 的 密 码 。
短 信 验 证 码 暴 力 破 解 短 信 验 证 码 暴 力 破 解 部 分 金 融 交 易 平 台 为 了 用 户 登 录 方 便 会 设 置 短 信 验 证 码 登 录 功 能 ， 但 并 未 对 验 证 码 的 登 录 错 误 次 数 进 行 限 制 ， 导 致 部 分 金 融 交 易 平 台 为 了 用 户 登 录 方 便 会 设 置 短 信 验 证 码 登 录 功 能 ， 但 并 未 对 验 证 码 的 登 录 错 误 次 数 进 行 限 制 ， 导 致 可 利 用 验 证 码 爆 破 的 方 式 强 行 登 录 账 号 。 可 利 用 验 证 码 爆 破 的 方 式 强 行 登 录 账 号 。 在 某 证 券 交 易 平 台 就 曾 出 现 过 该 安 全 问 题 。 该 平 台 使 用 6 位 数 字 随 机 验 证 码 进 行 登 录 ， 但 并 未 对 登 录 错 误 次 数 和 验 证 码 失 效 时 间 进 行 限 制 ， 导 致 可 以 暴 力 破 解 该 验 证 码 强 制 登 录 账 号 。 如 下 图 ： 同 样 是 通 过 返 回 值 的 l e n g t h 字 段 进 行 判 断 是 否 登 录 成 功 。 6 位 字 段 的 爆 破 需 要 较 长 的 时 间 ， 但 4 位 验 证 码 的 爆 破 时 间 最 慢 也 仅 需 要 约 5 分 钟 左 右 。 代 码 防 护 代 码 防 护 针 对 案 例 一 中 的 漏 洞 ， 我 们 建 议 在 第 二 步 修 改 密 码 时 服 务 端 再 次 验 证 手 机 验 证 码 针 对 案 例 一 中 的 漏 洞 ， 我 们 建 议 在 第 二 步 修 改 密 码 时 服 务 端 再 次 验 证 手 机 验 证 码 ， 部 分 平 台 所 采 用 的 做 法 是 ， 第 一 步 验 证 码 提 交 成 功 后 ， 将 验 证 码 隐 藏 在 一 个 “ h i d d e n ” 表 单 中 ， 并 在 第 二 步 修 改 密 码 中 进 行 提 交 ， 服 务 端 再 次 验 证 短 信 验 证 码 ， 保 证 准 确 性 ， 同 时 对 验 证 码 的 错 误 次 数 进 行 限 制 ， 当 验 证 错 误 超 过 特 定 次 数 ， 当 前 验 证 码 无 效 。 针 对 案 例 二 中 的 漏 洞 ， 我 们 同 样 建 议 随 机 验 证 码 设 置 错 误 次 数 限 制 针 对 案 例 二 中 的 漏 洞 ， 我 们 同 样 建 议 随 机 验 证 码 设 置 错 误 次 数 限 制 ， 当 验 证 错 误 超 过 特 定 次 数 ， 当 前 验 证 码 即 无 效 。 2 . 4 恶 意 注 册 恶 意 注 册 漏 洞 描 述 漏 洞 描 述 恶 意 注 册 ， 是 指 攻 击 者 利 用 网 站 注 册 功 能 的 安 全 漏 洞 ， 注 册 大 量 的 垃 圾 账 号 ， 导 致 系 统 增 多 大 量 无 用 数 据 。 恶 意 注 册 ， 是 指 攻 击 者 利 用 网 站 注 册 功 能 的 安 全 漏 洞 ， 注 册 大 量 的 垃 圾 账 号 ， 导 致 系 统 增 多 大 量 无 用 数 据 。 一 般 网 站 开 发 者 为 了 防 止 恶 意 注 册 的 行 为 ， 在 注 册 页 面 均 会 在 加 入 一 些 需 要 人 工 输 入 的 步 骤 ， 比 方 说 短 信 验 证 码 ， 邮 箱 验 证 等 。 但 是 在 对 金 融 平 台 测 试 的 过 程 中 ， 同 样 也 发 现 了 部 分 验 证 功 能 可 被 绕 过 。 案 例 案 例 注 册 数 据 包 重 放 绕 过 验 证 码 注 册 数 据 包 重 放 绕 过 验 证 码 部 分 金 融 交 易 平 台 为 了 保 证 注 册 用 户 的 真 实 性 ， 往 往 都 会 要 求 验 证 手 机 ， 并 通 过 发 送 验 证 码 的 方 式 来 保 证 注 册 账 号 并 非 僵 尸 账 号 ， 但 是 部 分 平 台 的 验 证 码 可 被 多 次 重 放 ， 导 致 可 注 册 大 量 垃 圾 账 号 ， 在 某 交 易 商 城 的 注 册 功 能 就 存 在 该 漏 洞 ， 下 图
为 注 册 时 需 要 给 手 机 发 送 验 证 码 的 数 据 包 ： 短 息 码 验 证 完 后 ， 直 接 注 册 写 数 据 库 ， 通 过 修 改 p h o n e N u m 的 值 可 以 实 现 批 量 注 册 账 号 ： 通 过 修 改 p h o n e N u m 的 值 为 1 5 5 2 7 x x x x 9 6 、 1 5 5 2 7 x x x x 9 7 可 成 功 注 册 这 两 个 账 号 : 该 漏 洞 出 现 的 原 因 在 于 后 台 未 校 验 验 证 码 的 使 用 次 数 和 时 间 ， 只 校 验 了 其 准 确 性 ， 因 此 可 被 利 用 进 行 多 次 注 册 。
代 码 防 护 代 码 防 护 目 前 遇 到 的 大 部 分 恶 意 注 册 类 的 安 全 漏 洞 均 为 验 证 码 可 被 多 次 使 用 造 成 ， 我 们 建 议 后 台 对 验 证 码 的 使 用 进 行 限 制 ， 目 前 遇 到 的 大 部 分 恶 意 注 册 类 的 安 全 漏 洞 均 为 验 证 码 可 被 多 次 使 用 造 成 ， 我 们 建 议 后 台 对 验 证 码 的 使 用 进 行 限 制 ， 任 何 的 验 证 码 应 为 一 次 性 ， 防 止 验 证 码 被 多 次 使 用 。 任 何 的 验 证 码 应 为 一 次 性 ， 防 止 验 证 码 被 多 次 使 用 。 2 . 5 恶 意 短 信 恶 意 短 信 漏 洞 描 述 漏 洞 描 述 恶 意 短 信 是 一 种 类 似 于 恶 意 短 信 是 一 种 类 似 于 D D o S 的 攻 击 方 式 ， 他 是 利 用 网 站 的 短 信 相 关 的 功 能 ， 对 用 户 的 手 机 进 行 长 时 间 的 短 信 轰 的 攻 击 方 式 ， 他 是 利 用 网 站 的 短 信 相 关 的 功 能 ， 对 用 户 的 手 机 进 行 长 时 间 的 短 信 轰 炸 ， 导 致 手 机 瘫 痪 。 炸 ， 导 致 手 机 瘫 痪 。 除 了 单 纯 的 短 信 轰 炸 之 外 ， 我 们 在 测 试 过 程 中 也 发 现 ， 部 分 金 融 交 易 平 台 对 所 发 送 的 短 信 内 容 也 并 没 有 进 行 限 制 ， 导 致 可 被 利 用 进 行 短 信 欺 诈 。 案 例 案 例 短 信 轰 炸 短 信 轰 炸 在 测 试 的 过 程 中 ， 我 们 发 现 众 多 的 金 融 交 易 平 台 仅 在 前 端 通 过 J S 校 验 时 间 来 控 制 短 信 发 送 按 钮 ， 但 后 台 并 未 对 发 送 做 任 何 限 制 ， 导 致 可 通 过 重 放 包 的 方 式 大 量 发 送 恶 意 短 信 。 如 某 交 易 平 台 的 手 机 注 册 处 就 出 现 过 该 类 型 漏 洞 。 利 用 f i d d l e r 抓 取 数 据 包 ， 并 进 行 重 放 可 以 绕 过 前 端 的 限 制 ， 大 量 发 送 恶 意 短 信 。 任 意 短 信 内 容 编 辑 任 意 短 信 内 容 编 辑 在 某 平 台 的 修 改 绑 定 手 机 功 能 就 曾 出 现 过 可 编 辑 短 信 内 容 的 问 题 。 点 击 “ 获 取 短 信 验 证 码 ” ， 并 抓 取 数 据 包 内 容 ， 如 下 图 。 通 过 分 析 数 据 包 ， 可 以 发 现 参 数 s e n d D a t a / i n s r o t x t 的 内 容 有 客 户 端 控
制 ， 可 以 修 改 为 攻 击 者 想 要 发 送 的 内 容 将 内 容 修 改 “ 恭 喜 你 获 得 由 x x 银 行 所 提 供 的 i p h o n e 6 一 部 ， 请 登 录 h t t p : / / w w w . x x x . c o m 领 取 ， 验 证 码 为 2 3 6 6 9 4 ” 并 发 送 该 数 据 包 ， 手 机 可 收 到 修 改 后 的 短 信 内 容 ， 如 下 图 ： 该 类 型 漏 洞 对 系 统 的 影 响 不 大 ， 但 若 被 攻 击 者 利 用 进 行 短 信 欺 诈 ， 将 严 重 影 响 平 台 的 声 誉 ， 甚 至 可 能 会 惹 上 法 律 纠 纷 。 代 码 防 护 代 码 防 护 针 对 恶 意 短 信 类 的 安 全 问 题 ， 我 们 建 议 可 以 通 过 以 下 两 种 方 式 进 行 防 护 ： 1 、 从 服 务 端 限 制 每 个 号 码 的 发 送 频 率 和 每 天 的 发 送 次 数 ， 防 止 攻 击 者 利 用 短 信 接 口 进 行 恶 意 轰 炸 。 ​ ​ ​ ​ 2 、 发 送 短 信 的 内 容 应 直 接 由 系 统 内 部 进 行 定 义 ， 客 户 端 可 通 过 数 字 或 字 符 的 方 式 ， 对 所 需 要 发 送 的 内 容 进 行 选 择 ， 如 m e s s a g e t y p e = 1   为 密 码 找 回 ， m e s s t y p e = 2 为 注 册 ， 然 后 通 过 数 字 来 索 引 要 发 送 的 内 容 。 三 、 总 结 三 、 总 结 随 着 社 会 的 进 步 ， 互 联 网 金 融 交 易 平 台 将 会 越 来 越 流 行 ， 平 台 涉 及 用 户 信 息 、 资 金 等 敏 感 信 息 ， 因 此 平 台 安 全 性 应 随 着 社 会 的 进 步 ， 互 联 网 金 融 交 易 平 台 将 会 越 来 越 流 行 ， 平 台 涉 及 用 户 信 息 、 资 金 等 敏 感 信 息 ， 因 此 平 台 安 全 性 应 更 应 受 到 重 视 ， 开 发 商 必 须 加 强 开 发 人 员 的 代 码 安 全 意 识 ， 建 立 代 码 安 全 开 发 规 范 ， 同 时 结 合 第 三 方 渗 透 测 试 和 代 更 应 受 到 重 视 ， 开 发 商 必 须 加 强 开 发 人 员 的 代 码 安 全 意 识 ， 建 立 代 码 安 全 开 发 规 范 ， 同 时 结 合 第 三 方 渗 透 测 试 和 代 码 审 计 的 方 式 对 即 将 上 线 的 系 统 仅 测 试 ， 提 高 平 台 的 安 全 性 。 码 审 计 的 方 式 对 即 将 上 线 的 系 统 仅 测 试 ， 提 高 平 台 的 安 全 性 。 如 果 你 觉 得 这 篇 文 章 有 用 ， 可 以 分 享 给 自 己 的 朋 友 ， 同 样 希 望 更 多 的 人 也 关 注 我 们 的 微 信 公 众 号 t r t 9 1 7 和 微 博 N S T R T 团 队 ， 我 们 会 定 期 分 享 一 些 信 息 安 全 相 关 知 识 ， 希 望 能 够 对 大 家 有 所 帮 助 。 作 者 N S T R T 团 队 ， 本 文 为 F r e e B u f 黑 客 与 极 客 版 权 （ F r e e B u f . C O M ） 所 有 ， 未 经 允 许 不 得 转 载 。 如 需 转 载 请 联 系
h e l p @ f r e e b u f . c o m 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理