搜索

[9156] 2015-07-22_漏洞盒子发布《2015上半年度金融行业互联网安全报告》

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-17
2015-07-22_漏洞盒子发布《2015上半年度金融行业互联网安全报告》 漏 洞 盒 子 发 布 《 2 0 1 5 上 半 年 度 金 融 行 业 互 联 网 安 全 报 告 》 漏 洞 盒 子   F r e e B u f   2 0 1 5 - 0 7 - 2 2 微 信 号 ： 微 信 号 ： f r e e b u f 作 为 世 界 第 二 大 经 济 体 的 中 国 经 济 ， 一 举 一 动 总 是 会 成 为 全 球 瞩 目 的 焦 点 。 作 为 世 界 第 二 大 经 济 体 的 中 国 经 济 ， 一 举 一 动 总 是 会 成 为 全 球 瞩 目 的 焦 点 。 2 0 1 5 年 中 国 股 市 如 同 乘 坐 了 过 山 车 一 般 年 中 国 股 市 如 同 乘 坐 了 过 山 车 一 般 在 股 民 惊 悚 的 叫 喊 声 中 度 过 了 不 太 平 的 半 年 。 而 中 国 在 上 半 年 还 是 交 出 了 涨 幅 在 股 民 惊 悚 的 叫 喊 声 中 度 过 了 不 太 平 的 半 年 。 而 中 国 在 上 半 年 还 是 交 出 了 涨 幅 1 6 . 7 % 的 漂 亮 成 绩 单 ， 位 列 的 漂 亮 成 绩 单 ， 位 列 C N N 盘 点 盘 点 的 全 球 热 门 股 票 市 场 第 七 名 。 的 全 球 热 门 股 票 市 场 第 七 名 。 但 是 ， 在 如 此 火 爆 的 金 融 市 场 面 前 ， 安 全 始 终 是 一 个 不 可 回 避 的 话 题 。 现 在 ， 是 时 候 让 我 们 一 起 来 回 顾 一 下 这 半 年 金 融 行 业 互 联 网 安 全 形 势 。 < 查 看 完 整 报 告 ， 请 点 击 最 下 方 “ 阅 读 原 文 ” > 金 融 行 业 安 全 总 览 金 融 行 业 安 全 总 览 互 联 网 上 数 以 万 计 的 金 融 业 安 全 漏 洞 ， 可 以 较 为 客 观 的 反 映 一 定 时 间 内 各 金 融 细 分 行 业 的 安 全 状 态 与 威 胁 挑 战 。 漏 洞 盒 子 安 全 研 究 团 队 对 2 0 1 5 年 上 半 年 全 网 1 2 4 8 个 漏 洞 和 1 3 3 个 安 全 事 件 进 行 仔 细 的 整 理 和 分 析 。 通 过 整 体 分 析 通 过 整 体 分 析 2 0 1 5 年 上 半 年 全 网 行 业 安 全 漏 洞 ， 我 们 做 出 以 下 统 计 结 果 和 趋 势 分 析 ： 年 上 半 年 全 网 行 业 安 全 漏 洞 ， 我 们 做 出 以 下 统 计 结 果 和 趋 势 分 析 ： 1 、 金 融 行 业 （ 保 险 、 银 行 、 证 券 、 互 联 网 金 融 ） 漏 洞 总 量 较 2 0 1 4 年 同 比 增 长 1 8 1 . 9 % 2 、 银 行 业 中 ， 民 营 银 行 安 全 漏 洞 明 显 高 于 国 有 ， 可 能 原 因 为 在 安 全 方 面 的 投 入 差 距 ， 导 致 整 体 安 全 性 结 果 上 的 差 异 3 、 互 联 网 金 融 业 高 、 中 危 级 别 的 漏 洞 数 量 总 和 占 比 高 达 9 7 . 2 % 。 这 暴 露 在 业 务 发 展 尤 其 迅 猛 的 互 联 网 金 融 业 ， 产 品 及 应 用 在 安 全 开 发 实 践 方 面 存 在 较 大 欠 缺 4 、 应 用 系 统 权 限 绕 过 漏 洞 （ 如 遍 历 查 询 和 操 作 他 人 账 户 、 订 单 等 ） 成 为 普 遍 问 题 ， 该 类 问 题 与 金 融 业 务 关 联 较 大 ， 极 易 造 成 严 重 威 胁 5 、 A P P 漏 洞 总 量 相 比 去 年 同 期 有 明 显 上 升 。 尤 其 是 银 行 业 ， 高 危 漏 洞 开 始 出 现 于 网 银 A P P 应 用 ， 这 从 侧 面 反 映 了 手 机 网 银 A P P 上 的 业 务 功 能 越 来 越 强 大 6 、 S Q L 注 入 依 然 高 发 ， 并 没 有 缓 解 的 趋 势 保 险 业 占 金 融 行 业 中 漏 洞 数 比 例 最 高 ， 其 次 是 兴 起 不 久 的 互 联 网 金 融 以 微 弱 的 劣 势 屈 居 第 二 。 但 研 究 发 现 ， 截 至 2 0 1 5 年 6 月 全 国 范 围 内 有 近 1 0 0 家 互 联 网 金 融 平 台 被 爆 出 存 在 漏 洞 。 漏 洞 数 量 之 大 ， 影 响 之 广 ， 实 属 罕 见 。
综 合 占 比 最 大 的 漏 洞 类 型 仍 然 是 “ 千 古 难 题 ” S Q L 注 入 漏 洞 ， X S S 漏 洞 占 比 则 较 2 0 1 4 年 同 期 略 有 下 降 。 值 得 一 提 的 是 ， 逻 辑 漏 洞 （ 包 括 越 权 ） 和 权 限 绕 过 问 题 成 为 数 据 泄 露 风 险 的 主 要 诱 因 。 在 漏 洞 威 胁 等 级 方 面 ， 高 危 漏 洞 占 据 6 3 . 3 % ， 说 明 金 融 行 业 安 全 漏 洞 形 势 确 实 不 容 乐 观 。 保 险 业 保 险 业 漏 洞 盒 子 团 队 统 计 2 0 1 5 年 上 半 年 保 险 行 业 的 互 联 网 漏 洞 数 据 ， 全 国 约 有 上 百 家 保 险 公 司 存 在 严 重 安 全 问 题 ， 中 国 人 保 、 太 平 洋 保 险 、 中 国 人 寿 、 合 众 人 寿 等 诸 多 知 名 保 险 公 司 赫 然 在 列 。 信 息 泄 露 以 及 权 限 绕 过 成 为 保 险 行 业 应 用 系 统 的 最 大 “ 通 病 ” ， 总 计 超 过 1 0 0 0 万 的 用 户 信 息 存 泄 露 风 险 。 全 网 数 据 显 示 ， 约 有 1 0 0 家 保 险 企 业 网 站 存 在 安 全 问 题 ， 其 中 5 3 家 股 份 制 企 业 占 据 半 壁 江 山 ， 政 府 事 业 单 位 有 1 7 家 。
权 限 绕 过 成 为 保 险 行 业 应 用 系 统 的 最 大 权 限 绕 过 成 为 保 险 行 业 应 用 系 统 的 最 大 “ 通 病 通 病 ” ： ： 1 、 统 计 中 的 过 半 企 业 存 在 越 权 查 看 保 单 信 息 、 修 改 保 单 信 息 等 2 、 权 限 绕 过 可 能 导 致 遍 历 用 户 数 据 等 严 重 问 题 ， 总 计 超 过 1 0 0 0 万 的 用 户 信 息 存 泄 露 风 险 3 、 应 用 程 序 逻 辑 问 题 占 比 较 高 ， 其 中 订 单 操 作 方 面 的 逻 辑 漏 洞 多 次 出 现 4 、 S Q L 注 入 漏 洞 依 然 大 面 积 存 在 ， 暴 露 产 品 及 应 用 在 安 全 开 发 实 践 方 面 的 欠 缺 银 行 业 银 行 业 银 行 计 算 机 系 统 遭 攻 击 或 者 被 黑 事 件 频 繁 发 生 。 网 络 系 统 存 在 漏 洞 的 银 行 遍 及 全 国 各 地 ， 不 夸 张 的 说 从 多 个 省 市 的 农 商 银 行 到 五 大 国 有 商 业 银 行 ， 甚 至 央 妈 — — 中 国 人 民 银 行 ， 都 纷 纷 中 弹 。 漏 洞 盒 子 团 队 发 现 ， 目 前 银 行 业 面 临 的 信 息 泄 露 威 胁 较 大 ， 同 时 应 用 及 系 统 中 逻 辑 漏 洞 占 比 过 高 ， 安 全 问 题 已 经 开 始 出 现 于 A P P 应 用 上 。 而 银 行 业 中 高 危 级 别 的 漏 洞 占 比 最 高 ， 占 到 了 6 8 . 6 % 。 某 银 行 甚 至 出 现 了 任 意 卡 号 查 询 余 额 的 严 重 漏 洞 。 全 网 数 据 显 示 ， 目 前 银 行 业 面 临 的 权 限 绕 过 威 胁 较 大 ， 同 时 应 用 及 系 统 中 逻 辑 漏 洞 占 比 过 高 ： 全 网 数 据 显 示 ， 目 前 银 行 业 面 临 的 权 限 绕 过 威 胁 较 大 ， 同 时 应 用 及 系 统 中 逻 辑 漏 洞 占 比 过 高 ： 1 、 权 限 绕 过 情 况 比 较 严 重 2 、 应 用 程 序 逻 辑 问 题 占 比 较 高 3 、 高 危 漏 洞 开 始 出 现 于 A P P 应 用 4 、 多 个 S t r u t s 2 远 程 代 码 执 行 漏 洞 的 出 现 ， 暴 露 银 行 业 在 系 统 网 络 安 全 运 维 上 的 短 板 5 、 银 行 业 全 部 漏 洞 中 ， 高 危 级 别 的 漏 洞 占 比 高 达 6 8 . 6 % 6 、 股 份 制 商 业 银 行 安 全 漏 洞 明 显 高 于 国 有 银 行 ， 可 能 原 因 为 在 安 全 方 面 的 投 入 差 距 ， 导 致 整 体 安 全 性 结 果 上 的 差 异 证 券 业 证 券 业 证 券 行 业 中 系 统 信 息 泄 露 情 况 非 常 严 重 ， 潜 在 泄 露 的 用 户 数 据 达 数 百 万 以 上 ， 包 括 个 人 基 本 信 息 （ 姓 名 、 身 份 证 号 、 手 机 、 年 龄 、 地 址 、 照 片 、 合 同 ） 以 及 视 频 信 息 ， 对 用 户 和 企 业 造 成 的 损 失 难 以 统 计 。
而 证 券 行 业 的 安 全 漏 洞 较 2 0 1 4 年 同 比 增 长 达 到 惊 人 的 3 2 6 . 7 % 。 仅 在 漏 洞 盒 子 平 台 上 就 有 近 5 0 家 证 券 企 业 存 在 安 全 风 险 ， 华 泰 证 券 、 长 江 证 券 、 国 金 证 券 、 国 联 证 券 等 知 名 证 券 公 司 在 列 。 漏 洞 不 仅 仅 给 造 成 信 息 的 泄 露 、 用 户 裸 奔 ， 在 涉 及 证 券 这 样 的 敏 感 信 息 时 ， 黑 客 可 能 会 更 利 用 这 些 非 法 获 取 的 信 息 进 行 交 易 或 者 盗 卖 。 全 网 数 据 显 示 ， 证 券 业 中 弱 口 令 风 险 表 现 的 尤 为 突 出 ： 全 网 数 据 显 示 ， 证 券 业 中 弱 口 令 风 险 表 现 的 尤 为 突 出 ： 1 、 弱 口 令 情 况 非 常 严 重 ， 占 比 达 到 3 8 . 9 % 2 、 各 类 安 全 问 题 导 致 的 潜 在 泄 露 用 户 数 据 达 到 数 百 万 以 上 ， 对 企 业 造 成 的 损 失 难 以 统 计 3 、 同 行 业 全 部 漏 洞 中 ， 高 危 级 别 的 漏 洞 占 比 高 达 6 6 . 7 % 4 、 S Q L 注 入 漏 洞 较 多 ， 暴 露 产 品 及 应 用 在 安 全 开 发 实 践 方 面 的 欠 缺 证 券 行 业 的 安 全 漏 洞 较 2 0 1 4 年 同 比 增 长 达 到 惊 人 的 3 2 6 . 7 % ， 这 很 可 能 与 2 0 1 5 年 上 半 年 火 爆 的 股 市 有 关 。 互 联 网 金 融 互 联 网 金 融
作 为 后 起 之 秀 的 互 联 网 金 融 ， 其 整 体 平 台 的 安 全 技 术 水 平 跟 业 务 的 风 险 性 不 相 匹 配 ， 缺 乏 专 业 、 核 心 的 防 范 黑 客 攻 击 技 术 ， 从 而 给 了 黑 客 乘 虚 而 入 的 机 会 。 截 至 2 0 1 4 年 底 ， 已 有 近 1 6 5 家 P 2 P 平 台 由 于 黑 客 攻 击 造 成 系 统 瘫 痪 、 数 据 被 恶 意 篡 改 、 资 金 被 洗 劫 一 空 等 。 而 在 这 些 严 重 威 胁 的 背 后 ， 暴 露 了 互 联 网 金 融 业 在 高 速 发 展 的 同 时 ， 产 品 及 应 用 在 安 全 开 发 实 践 方 面 存 在 的 较 大 欠 缺 。 近 两 年 风 靡 一 时 的 P 2 P 金 融 ， 比 如 ， 金 融 之 家 、 爱 投 资 、 长 久 贷 等 均 在 “ 上 榜 ” 名 单 之 列 ， 而 仅 发 现 漏 洞 的 互 联 网 金 融 企 业 就 有 近 1 0 0 家 ， 而 这 些 平 台 上 潜 在 泄 露 的 用 户 总 量 在 百 万 级 别 以 上 。 全 网 数 据 显 示 ， 互 联 网 金 融 应 用 系 统 安 全 基 础 较 薄 弱 ： 全 网 数 据 显 示 ， 互 联 网 金 融 应 用 系 统 安 全 基 础 较 薄 弱 ： 1 、 全 部 漏 洞 中 ， 高 、 中 危 级 别 的 漏 洞 数 量 总 和 占 比 高 达 9 7 . 2 % 2 、 逻 辑 漏 洞 占 比 极 高 ， 这 种 现 象 的 出 现 ， 与 互 联 网 金 融 应 用 业 务 功 能 繁 多 ， 开 发 人 员 安 全 意 识 和 技 术 水 平 参 差 有 极 大 关 联 。 和 常 见 的 S Q L 注 入 、 恶 意 上 传 漏 洞 不 同 ， 逻 辑 漏 洞 不 会 直 接 影 响 服 务 器 的 安 全 ， 但 对 用 户 的 账 号 和 资 金 安 全 有 着 直 接 的 影 响 3 、 S Q L 注 入 漏 洞 存 在 数 量 巨 大 ， 暴 露 在 业 务 发 展 尤 其 迅 猛 的 互 联 网 金 融 业 ， 产 品 及 应 用 在 安 全 开 发 实 践 方 面 存 在 较 大 欠 缺 总 结 总 结 国 内 金 融 行 业 面 临 的 信 息 安 全 风 险 是 全 方 位 的 ， 除 传 统 互 联 网 风 险 外 ， 还 面 临 新 形 势 、 新 技 术 、 新 业 态 的 安 全 风 险 挑 战 ， 正 在 经 历 着 了 来 自 黑 客 团 体 、 经 济 犯 罪 、 地 下 产 业 以 及 敌 对 国 家 等 安 全 威 胁 。 在 本 报 告 中 ， 我 们 看 到 无 论 保 险 、 银 行 、 证 券 或 是 新 兴 的 互 联 网 金 融 ， 2 0 1 5 年 上 半 年 ， 互 联 网 安 全 漏 洞 的 数 量 相 比 去 年 同 期 有 爆 发 性 增 长 。 而 其 中 可 能 导 致 数 据 信 息 泄 露 、 越 权 操 作 的 安 全 问 题 在 各 大 金 融 应 用 中 都 有 明 显 表 现 。 我 们 发 现 有 些 高 危 漏 洞 ， 漏 洞 发 现 者 或 平 台 方 已 通 过 多 种 渠 道 向 相 关 单 位 反 馈 ， 但 漏 洞 长 时 间 仍 未 被 修 复 ， 这 背 后 透 露 出 企 业 管 理 者 对 安 全 问 题 的 漠 视 或 漏 洞 响 应 方 面 的 疏 漏 。 另 一 方 面 ， 时 至 今 日 S Q L 注 入 这 类 “ 骨 灰 级 漏 洞 ” 依 然 在 行 业 统 计 数 据 中 占 据 较 大 比 例 且 未 有 下 降 的 趋 势 ， 这 暴 露 出 金 融 产 品 及 应 用 在 安 全 开 发 实 践 方 面 存 在 较 大 欠 缺 。 金 融 行 业 的 互 联 网 化 是 大 势 所 趋 。 但 由 于 支 撑 互 联 网 金 融 的 云 计 算 、 大 数 据 等 新 技 术 发 展 还 不 完 全 成 熟 ， 安 全 机 制 尚 不 完 善 ； 同 时 ， 当 第 三 方 支 付 、 P 2 P 等 互 联 网 金 融 新 业 务 飞 速 发 展 时 ， 企 业 安 全 技 术 、 安 全 意 识 以 及 运 维 管 理 水 平 往 往 难 以 跟 上 。 因 此 许 多 互 联 网 金 融 企 业 愿 意 花 费 几 百 万 、 上 千 万 元 投 放 广 告 ， 却 不 愿 在 安 全 方 面 有 任 何 预 算 ， 这 一 切 直 接 导 致 大 量 的
P 2 P 网 贷 、 互 联 网 金 融 产 品 成 为 “ 黑 客 光 临 ” 的 重 灾 区 。 完 整 报 告 下 载 完 整 报 告 下 载 < 查 看 完 整 报 告 ， 请 点 击 最 下 方 “ 阅 读 原 文 ” > * 本 文 作 者 ： 漏 洞 盒 子 团 队 ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理