黑客究竟用什么姿势偷走了你的钱?

2016-04-19 09:09 稿源:雷锋网  0条评论

分享嘉宾:宋宇昊,毕业于上海交通大学信息安全学院,碁震(KEEN)的联合创始人,现担任技术总监、高级研究员,曾任职于微软(中国)安全响应中心,并于2010年获得微软中国突出贡献奖。目前关注Android相关和智能设备领域的安全研究,同时致力于打造 GeekPwn 平台,向广大白帽子们征集智能设备漏洞,提交给厂商,并把危害展现给大众。

【KEEN 联合创始人 宋宇昊】

这世上的骗局,到底谁买单?

随着移动支付的普及,我们的生活变得越来越便利。我们甚至已经可以不带钱包、现金、银行卡出门,只用手机就能完成吃饭、娱乐、交通、购物的支付。

平时我们一讲到支付安全,大家最容易想到的就是钓鱼、诈骗、木马。确实,钓鱼、诈骗和木马是支付领域最常见犯罪手段,它的犯罪成本低、易于实施。他们其实属于社会工程攻击的范畴,犯罪者一般先通过各种方式获取受害者的信息,比如联系方式、甚至可能是受害者的个人隐私信息,然后犯罪者利用受害者心理弱点进行欺诈,诱使他们做一些操作。例如洗钱调查开安全账户、家人生病、来看看我们的照片等等都是常见的欺诈手段。

所有欺诈手段的共同点是,犯罪者都要诱使受害者犯错,只有受害者执行了错误的操作才能够让犯罪者得逞。那么是不是只要用户保持清醒的头脑不受骗上当就安全了呢?

答案是否定的。除了用户有犯错的机会,产品厂商的设计者、开发者也会犯错,他们犯的错误也可能导致用户财产受到犯罪者的侵害,当然也可能导致厂商自己受侵害。大家都知道开发者写代码出错,那叫Bug。而如果正好有某个Bug不巧,能够被攻击者利用,在没有被授权的情况下访问或者破坏系统,那这个Bug就叫做漏洞。

有些人会把这类攻击者叫做黑客,但我这儿为了避免混淆不这么称呼,因为在不同场合下黑客有不同含义。有时候,黑客被认为是利用技术研究成果实施计算机犯罪的人,这类人也被叫做黑帽黑客;有时候,黑客是指那些把研究成果用于帮助厂商改进产品,帮助保护用户安全的人,这类叫做白帽黑客。

白帽子们会在各种渠道,例如 GeekPwn 这样的平台上分享并展示出自己的研究成果,然后我们将这些成果提供给厂商,以帮助他们提升产品安全。正因如此,这些案例中的漏洞并没有被用于犯罪行为中,而是被厂商及时地修复了。今天我们就来看看我们能从中吸取到些什么经验和教训。

消费型App存在哪些问题?

所谓消费型APP是指所有能在其中进行充值、购物、购买服务等等消费行为的APP。在这个案例中,是一个O2O提供线下服务的APP,用户可以在APP中充值余额。然而一个恶意的用户可以做到在APP中充值任意多的钱,实际却只支付1分钱或其他任意金额。这个场景中的受害者是这个APP服务的提供商。

那么这个任意占厂商便宜的漏洞是怎么产生的呢?在分析原因前,我们先看一下攻击的流程。

这个场景中有手机APP、支付平台、APP服务端三方。根据厂商的设想,他们预期的是这样的支付流程,我们看下图的左侧:

1、手机APP首先生成了一个100元的充值订单发送给APP服务端;

2、用户获得一个支付链接,依据链接向支付平台支付100元;

3、支付平台会向APP服务端发送消息,说某个订单成功支付了100元;

4、APP服务端收到消息,检查是否支付成功,如成功就往账户余额中增加100元。

这个流程问题在哪儿呢?我们看刚才那幅图的右侧:

如果这个APP用户并不是一个老实的用户,他并没有按照订单返回的支付信息支付100元,而是把它修改为支付0.01元,并且完成支付。在这个情况下,APP服务端同样会收到支付平台发来的消息,说某个订单成功支付了0.01元。然而APP服务端却并不管实际支付了多少钱,只关心这个订单支付成功了,并且按照订单金额给账户中充值了100元。这样用户就成功地坑了APP厂商99.99元。

导致这个问题的原因是什么呢?是一个APP服务端的漏洞,APP服务端没有遵循支付平台的API文档标准,对支付平台回调的支付结果信息做充分的校验。

二维码支付存在哪些问题?

我相信大多数朋友都用过二维码支付,在实体店铺中展示二维码,扫一下就能完成支付,非常方便。我们这就来看一下二维码扫码支付的漏洞案例。在这个案例中,攻击者到任意实体店铺进行消费,以二维码方式支付,但却从受害者的账户中扣费。这里的受害者可以是任何一个在这个支付平台上注册过的用户。在分析原因前,我们先来看一下攻击流程。

这个场景中有用户、实体店铺和支付平台三方。根据支付厂商的设想,预期这样的支付流程:

用户Alice点开扫码支付,这时候支付客户端会向支付平台服务端请求一个二维码,假设这里请求的AccountNo叫Alice,这样支付平台服务端就会返回一个二维码,这个二维码对应于Alice的账户,并且只能用一次,这就相当于一个支付令牌。

店铺的二维码扫描枪扫了一下这个二维码,店铺就获得了这个支付令牌,它就可以从Alice的账号中扣款了。然而有个叫Chuck的恶意用户,它在向服务端请求支付二维码的时候,在AccountNo当中填入了Bob,而不是他自己的账户Chuck,这时候店铺虽然扫描了Chuck手机上的二维码,但实际上会从Bob账户中扣款。

有好的文章希望站长之家帮助分享推广,猛戳这里我要投稿

相关文章

相关热点

查看更多