AG公司云
紧迫通告：网银清静控件 远程代码执行误差剖析
2015-05-14
执行摘要
5月11日，AG公司科技威胁响应中心接报乌云通告，某银行清静控件可导致远程恣意代码执行误差（WooYun-2015-96339），思量到互联网金融目今保存较多的清静性问题[1]，并思量到该误差涉及到支付宝清静控件，可能的影响面较大，故迅速睁开应急响应事情。
1 11日，接乌云通告该误差情形，启动误差剖析事情。
2 11日，对各银行网银清静控件睁开剖析及检测事情，并给出应对要领。
3 12日，宣布紧迫通告，并将剖析报告发送给客户及相助同伴。
配景信息
该问题起源于乌云平台对某银行控件清静问题的一处转达[2]，转达指出，该银行的网银控件会降低网银用户电脑中的清静设置（该设置保存于IE浏览器中）。当这台被降低的电脑会见通例条件下的可信网站时，会执行可信网站要求的恣意下令，若是该误差被攻击者使用，很容易结构跨站攻击，在用户的电脑上执行恣意代码。
危害水平
通俗来说，这个问题可以明确为一台“误差放大器”，它自己可能不会造成特严重的危害，但配合上其他误差，会放大其他误差造成的危害，可以预见的危害有以下几项：
? 该误差涉及网银登录页面，以及可能涉及较为及常见的信托网站（好比淘宝、支付宝等），两者的配适用户许多，可能被攻击的规模较大，危害较大；
? 网银出于兼容性及可用性的思量，可能会降低IE清静性设置，由此行动带来的过失设置可能保存于多家银行；
? 该误差是由于网银控件的过失设置，允许在浏览受信托网站时执行恣意代码，且没有任何提醒，这提升了跨站攻击的威胁水平，用户可能更容易受到危险；
? XSS跨站攻击自己保存易撒播性，配合其他误差举行组合攻击，将会进一步扩大影响规模
剖析办法
检测要领
为有用应对此误差，建议用户尽快通过如下要领检测自己是否已经受到影响。
审查IE浏览器清静设置
? “启动IE浏览器，找到并点击“工具菜单”- “Internet选项”
? 在随后泛起的对话框中，点选清静标签页
? 在下面第一个窗口中点击“可信站点”图标
检查可信站点区域清静级别
选择该选项后，若是发明红框中的清静级别为“中”，则批注自己所使用的网银控件不保存类似问题，下图是清静情形的样例图。
选择该选项后，若是发明红框中的清静级别为“自界说”，则需要通过如下办法进一步确定问题：
? 点击“自界说级别”按钮
? 在新弹出的对话框审查“对未标记为可清静执行剧本的ActiveX控件初始化并执行剧本”这一项
? 若是选择项为“启用”，则批注保存响应问题
下图是保存清静危害的样例图：
可能的使用要领
通过上面的剖析可以看到，此次误差的要害在于这个控件过失的设置，翻开了“对未标记为可清静执行剧本的ActiveX控件初始化并执行剧本“选项，从而允许执行恣意ja
? 结构一个恶意剧本并将其嵌入URL中，发送给被攻击者
? 被攻击者翻开URL，看到照旧银行官网，以致信托域内的恣意网站，好比*.taobao.com
? 原来这个剧本在外地会受到IE的清静设置的限制无法在执行，默认设置为中级以上
? 但由于清静控件翻开了这道门，恶意剧本已经在后台执行了
? 那么该剧本完全可能在后台下载木马，进而窃取用户的敏感信息，包括授权、信用卡、账号信息等
若是该URL进一步扩散，无论给用户的亲自利益，照旧对银行的声誉，带来的危害是极其严重的；若是信托域内的网站陷落，可导致会见该网站的所有用户被挂马，同样是一个一次攻击危害放大的效果。
在《2014AG公司科技互联网金融清静报告》中可以看到，在种种通例误差中，XSS是泛起频率最多的误差类型，占到了13%[3]。其中主要包括反射型XSS和存储型XSS�？缯揪绫疚蟛羁赡芑岬贾峦彻衣怼⒂没ㄏ薇坏劣谩⒋孤诠セ鞯榷嘀智寰参：�。
剖析效果汇总
通过上面的剖析可以看到，该误差可能提升现有误差的威胁水平，进而引起大规模网页挂马事务，其危害性极为严重，以是AG公司科技手艺职员第一时间对8家银行页面举行了检测，发明工商银行网银页面均保存控件清静性问题，各行页面详细检测情形截图详见附录。
|
银行网银页面清静控件剖析效果 某行网银保存控件清静性问题 |
|
|
|
|
|
控件所属银行 |
问题保存情形 |
|
中国银行 |
无问题 |
|
农业银行 |
无问题 |
|
中国建设银行 |
无控件 无问题 |
|
某银行 |
保存 |
|
招商银行 |
无问题 |
|
民生银行 |
无问题 |
|
兴业银行 |
无控件 无问题 |
紧迫应对要领
给银行方面的建议
对自己所属银行的控件举行装置审计（审计要领参考检测要领章节），如发明其修改了IE的清静设置，证实该控件保存类似问题。此时应当联系己方开发职员，作废这一修改设置的功效，并宣布新版本控件。如控件自身功效有修改IE的清静设置的需求，也要借助其他功效等价编码实现举行该问题规避，重构后宣布新版本控件。
给网银用户的建议
通俗用户可以先检查自己的浏览器是否保存类似问题，检查要领同样参考检测要领的章节。
如发明自己的控件保存问题，则应将电脑的IE选项手动修复为默认级别（点击“默认级别”这个按钮即可--------在“自界说级别”旁边）。以后，当银行宣布新版本控件时，再举行控件更新即可。
威胁情报
为实时有用的应对种种网络清静事务，AG公司科技一直与各清静机构坚持亲近相助，包括乌云及CNCert国家互联网应急中心。以后次清静事务的撒播情形可以看到，无论其原理怎样，无论防护计划怎样实验，要害在于尽可能快的相识到误差信息及相关的情报，以便尽可能快的启动应急响应机制。这无论关于解决古板清静或者APT攻击来说都是主要的手段之一，威胁情报的获取及响应都体现了防御能力的建设水平，威胁情报服务系统至少包括了威胁监测及响应、数据剖析及整理、营业情报及交付、危害评估及咨询、清静托管及应用等各个方面，涉及研究、产品、服务、运营及营销的各个环节，AG公司科技通过研究、云端、产品、服务等立体的应急响应系统，向企业和组织实时提供威胁情报并一连举行后续服务，包管客户营业的顺畅运行。
若是您对我们提供的内容有任何疑问，或者需要相识更多的信息，可以随时通过在微博、微信中搜索AG公司科技联系AG公司，接待您的垂询！
[1] 2014AG公司科技互联网金融清静报告，http://www.nsfocus.com.cn/content/details_62_1906.html
[2] 乌云，http://wooyun.org/bugs/wooyun-2010-096339
[3] 2014AG公司科技互联网金融清静报告，http://www.nsfocus.com.cn/upload/contents/2015/04/20150430092058_98145.pdf
