九游老哥云
紧迫通告：网银清静控件 远程代码执行误差剖析
2015-05-14
执行摘要
5月11日 ，九游老哥科技威胁响应中心接报乌云通告 ，某银行清静控件可导致远程恣意代码执行误差（WooYun-2015-96339） ，思量到互联网金融目今保存较多的清静性问题[1] ，并思量到该误差涉及到支付宝清静控件 ，可能的影响面较大 ，故迅速睁开应急响应事情。
1 11日 ，接乌云通告该误差情形 ，启动误差剖析事情。
2 11日 ，对各银行网银清静控件睁开剖析及检测事情 ，并给出应对要领。
3 12日 ，宣布紧迫通告 ，并将剖析报告发送给客户及相助同伴。
配景信息
该问题起源于乌云平台对某银行控件清静问题的一处转达[2] ，转达指出 ，该银行的网银控件会降低网银用户电脑中的清静设置（该设置保存于IE浏览器中）。当这台被降低的电脑会见通例条件下的可信网站时 ，会执行可信网站要求的恣意下令 ，若是该误差被攻击者使用 ，很容易结构跨站攻击 ，在用户的电脑上执行恣意代码。
危害水平
通俗来说 ，这个问题可以明确为一台“误差放大器” ，它自己可能不会造成特严重的危害 ，但配合上其他误差 ，会放大其他误差造成的危害 ，可以预见的危害有以下几项：
? 该误差涉及网银登录页面 ，以及可能涉及较为及常见的信托网站（好比淘宝、支付宝等） ，两者的配适用户许多 ，可能被攻击的规模较大 ，危害较大；
? 网银出于兼容性及可用性的思量 ，可能会降低IE清静性设置 ，由此行动带来的过失设置可能保存于多家银行；
? 该误差是由于网银控件的过失设置 ，允许在浏览受信托网站时执行恣意代码 ，且没有任何提醒 ，这提升了跨站攻击的威胁水平 ，用户可能更容易受到危险；
? XSS跨站攻击自己保存易撒播性 ，配合其他误差举行组合攻击 ，将会进一步扩大影响规模
剖析办法
检测要领
为有用应对此误差 ，建议用户尽快通过如下要领检测自己是否已经受到影响。
审查IE浏览器清静设置
? “启动IE浏览器 ，找到并点击“工具菜单”- “Internet选项”
? 在随后泛起的对话框中 ，点选清静标签页
? 在下面第一个窗口中点击“可信站点”图标
检查可信站点区域清静级别
选择该选项后 ，若是发明红框中的清静级别为“中” ，则批注自己所使用的网银控件不保存类似问题 ，下图是清静情形的样例图。
选择该选项后 ，若是发明红框中的清静级别为“自界说” ，则需要通过如下办法进一步确定问题：
? 点击“自界说级别”按钮
? 在新弹出的对话框审查“对未标记为可清静执行剧本的ActiveX控件初始化并执行剧本”这一项
? 若是选择项为“启用” ，则批注保存响应问题
下图是保存清静危害的样例图：
可能的使用要领
通过上面的剖析可以看到 ，此次误差的要害在于这个控件过失的设置 ，翻开了“对未标记为可清静执行剧本的ActiveX控件初始化并执行剧本“选项 ，从而允许执行恣意ja
? 结构一个恶意剧本并将其嵌入URL中 ，发送给被攻击者
? 被攻击者翻开URL ，看到照旧银行官网 ，以致信托域内的恣意网站 ，好比*.taobao.com
? 原来这个剧本在外地会受到IE的清静设置的限制无法在执行 ，默认设置为中级以上
? 但由于清静控件翻开了这道门 ，恶意剧本已经在后台执行了
? 那么该剧本完全可能在后台下载木马 ，进而窃取用户的敏感信息 ，包括授权、信用卡、账号信息等
若是该URL进一步扩散 ，无论给用户的亲自利益 ，照旧对银行的声誉 ，带来的危害是极其严重的；若是信托域内的网站陷落 ，可导致会见该网站的所有用户被挂马 ，同样是一个一次攻击危害放大的效果。
在《2014九游老哥科技互联网金融清静报告》中可以看到 ，在种种通例误差中 ，XSS是泛起频率最多的误差类型 ，占到了13%[3]。其中主要包括反射型XSS和存储型XSS�？缯揪绫疚蟛羁赡芑岬贾峦彻衣怼⒂没ㄏ薇坏劣谩⒋孤诠セ鞯榷嘀智寰参：�。
剖析效果汇总
通过上面的剖析可以看到 ，该误差可能提升现有误差的威胁水平 ，进而引起大规模网页挂马事务 ，其危害性极为严重 ，以是九游老哥科技手艺职员第一时间对8家银行页面举行了检测 ，发明工商银行网银页面均保存控件清静性问题 ，各行页面详细检测情形截图详见附录。
|
银行网银页面清静控件剖析效果 某行网银保存控件清静性问题 |
|
|
|
|
|
控件所属银行 |
问题保存情形 |
|
中国银行 |
无问题 |
|
农业银行 |
无问题 |
|
中国建设银行 |
无控件 无问题 |
|
某银行 |
保存 |
|
招商银行 |
无问题 |
|
民生银行 |
无问题 |
|
兴业银行 |
无控件 无问题 |
紧迫应对要领
给银行方面的建议
对自己所属银行的控件举行装置审计（审计要领参考检测要领章节） ，如发明其修改了IE的清静设置 ，证实该控件保存类似问题。此时应当联系己方开发职员 ，作废这一修改设置的功效 ，并宣布新版本控件。如控件自身功效有修改IE的清静设置的需求 ，也要借助其他功效等价编码实现举行该问题规避 ，重构后宣布新版本控件。
给网银用户的建议
通俗用户可以先检查自己的浏览器是否保存类似问题 ，检查要领同样参考检测要领的章节。
如发明自己的控件保存问题 ，则应将电脑的IE选项手动修复为默认级别（点击“默认级别”这个按钮即可--------在“自界说级别”旁边）。以后 ，当银行宣布新版本控件时 ，再举行控件更新即可。
威胁情报
为实时有用的应对种种网络清静事务 ，九游老哥科技一直与各清静机构坚持亲近相助 ，包括乌云及CNCert国家互联网应急中心。以后次清静事务的撒播情形可以看到 ，无论其原理怎样 ，无论防护计划怎样实验 ，要害在于尽可能快的相识到误差信息及相关的情报 ，以便尽可能快的启动应急响应机制。这无论关于解决古板清静或者APT攻击来说都是主要的手段之一 ，威胁情报的获取及响应都体现了防御能力的建设水平 ，威胁情报服务系统至少包括了威胁监测及响应、数据剖析及整理、营业情报及交付、危害评估及咨询、清静托管及应用等各个方面 ，涉及研究、产品、服务、运营及营销的各个环节 ，九游老哥科技通过研究、云端、产品、服务等立体的应急响应系统 ，向企业和组织实时提供威胁情报并一连举行后续服务 ，包管客户营业的顺畅运行。
若是您对我们提供的内容有任何疑问 ，或者需要相识更多的信息 ，可以随时通过在微博、微信中搜索九游老哥科技联系九游老哥 ，接待您的垂询！
[1] 2014九游老哥科技互联网金融清静报告 ，http://www.nsfocus.com.cn/content/details_62_1906.html
[2] 乌云 ，http://wooyun.org/bugs/wooyun-2010-096339
[3] 2014九游老哥科技互联网金融清静报告 ，http://www.nsfocus.com.cn/upload/contents/2015/04/20150430092058_98145.pdf
