在現(xiàn)在互聯(lián)網(wǎng)的時(shí)代，面對(duì)各種針對(duì)互聯(lián)網(wǎng)的安全問(wèn)題，沒(méi)有一勞永逸的辦法。例如支付寶雖然設(shè)置了多道門(mén)檻，但是隨著不法分子盜取用戶(hù)信息的手段越來(lái)越高明，依然存有隱患。據(jù)調(diào)查，互聯(lián)網(wǎng)支付和移動(dòng)支付等第三平臺(tái)的安全防護(hù)手段還不足以防范不法分子的攻擊，而這無(wú)疑是給用戶(hù)留下了巨大的安全隱患。近日，手機(jī)支付存隱患安全漏洞被曝光。
《新浪科技》報(bào)導(dǎo)，近一段時(shí)間手機(jī)用戶(hù)爆料，其銀行卡存款突然不翼而飛。
一名福建用戶(hù)稱(chēng)，銀行卡被人從網(wǎng)上利用支付寶、網(wǎng)易寶等第三方支付方式盜刷了6筆2000元錢(qián)。另一江蘇省揚(yáng)州市記者披露的一起銀行卡盜刷案，當(dāng)事人銀行卡被盜刷6萬(wàn)多元。
據(jù)警方介紹，在銀行卡被盜刷之前，當(dāng)事人的銀行卡以及保障網(wǎng)銀安全的U盾、密碼等都沒(méi)有丟失過(guò)，更為奇怪的問(wèn)題是，在整個(gè)盜刷過(guò)程中，當(dāng)事人和銀行卡綁定的手機(jī)也沒(méi)有顯示出賬戶(hù)變化的提醒簡(jiǎn)訊，直到當(dāng)事人自己刷卡消費(fèi)的時(shí)候，才發(fā)現(xiàn)銀行卡被盜刷了。
按照支付寶等第三方支付平臺(tái)現(xiàn)有的安全防范措施，只有同時(shí)掌握賬號(hào)、登錄密碼、支付密碼以及簡(jiǎn)訊驗(yàn)證碼這四道安全防護(hù)密匙，才有可能從網(wǎng)上通過(guò)第三方支付平臺(tái)刷卡轉(zhuǎn)賬。
報(bào)導(dǎo)指出，由于用戶(hù)個(gè)人不慎泄露了隱私信息，導(dǎo)致銀行卡資金被盜。現(xiàn)在已經(jīng)拿到用戶(hù)的這款小米2手機(jī)，存在比較多的安全漏洞。
清華大學(xué)副研究員、國(guó)家重大專(zhuān)項(xiàng)課題之《Linux/Android操作系統(tǒng)安全漏洞檢測(cè)》研究小組負(fù)責(zé)人諸葛建偉表示，攻擊者會(huì)設(shè)置一個(gè)公共的釣魚(yú)wifi，通過(guò)去配置這樣的一款無(wú)線路由器，去把它作為用戶(hù)手機(jī)上網(wǎng)的，中間人攻擊的一個(gè)節(jié)點(diǎn)。那如果用戶(hù)為了省流量，用他的手機(jī)連入到這樣的一個(gè)公共Wifi里，用戶(hù)的上網(wǎng)流量就會(huì)被劫持到攻擊者指定的一個(gè)筆記本電腦或者是PC上。
專(zhuān)家介紹說(shuō)，一旦手機(jī)用戶(hù)的上網(wǎng)數(shù)據(jù)流被攻擊者劫持，用戶(hù)點(diǎn)開(kāi)的任何一個(gè)網(wǎng)頁(yè)，實(shí)際上都可能被攻擊者暗地里插入了惡意攻擊程序，它會(huì)利用手機(jī)瀏覽器的安全漏洞，接著在用戶(hù)手機(jī)中自動(dòng)植入新的木馬程序。而這種木馬程序又會(huì)進(jìn)一步利用手機(jī)操作系統(tǒng)內(nèi)核中存在的ROOT提權(quán)漏洞，這種漏洞會(huì)被用來(lái)獲取原本屬于系統(tǒng)自身才能擁有的最高許可權(quán)，這就意味著攻擊者由此獲得了手機(jī)的完全控制權(quán)。
當(dāng)用戶(hù)在手機(jī)上輸入支付寶賬號(hào)和密碼的時(shí)候，這些極其重要的賬戶(hù)認(rèn)證信息幾乎同時(shí)暴露在攻擊者的電腦屏幕上。
按照支付寶的流程設(shè)計(jì)，單筆付款金額達(dá)到200元，必須經(jīng)過(guò)簡(jiǎn)訊驗(yàn)證碼確認(rèn)后，才能完成支付操作。然而，專(zhuān)家分析發(fā)現(xiàn)，攻擊者獲得手機(jī)完全控制權(quán)后，簡(jiǎn)訊驗(yàn)證碼的安全防范作用也就相當(dāng)于形同虛設(shè)。
同時(shí)他還可以利用手機(jī)上的木馬程序，對(duì)支付寶發(fā)給用戶(hù)手機(jī)的一個(gè)驗(yàn)證碼來(lái)進(jìn)行攔截。這種新的攻擊方式是可以讓攻擊者非常從容在用戶(hù)完全沒(méi)有察覺(jué)的這種情況下，偷偷地把你的錢(qián)轉(zhuǎn)走。
除小米2 機(jī)型外，像三星的Galaxy S4、谷歌(551.76, 0.41, 0.07%)的Nexus4以及華為、聯(lián)想的(品牌的)一些機(jī)型，也都同樣存在著這樣的ROOT提權(quán)安全漏洞，也就是能夠讓攻擊者獲取手機(jī)最高許可權(quán)的一個(gè)漏洞。
這種攻擊模式是組合使用瀏覽器的漏洞和本地root提權(quán)漏洞，進(jìn)行進(jìn)一步的攻擊，完全屏蔽掉360手機(jī)衛(wèi)士的運(yùn)行，從而讓它失效，我們還進(jìn)一步分析發(fā)現(xiàn)，這種攻擊模式，對(duì)像騰訊(117.2, 1.10, 0.95%, 實(shí)時(shí)行情)手機(jī)管家這樣的一些市場(chǎng)上主流的手機(jī)安全軟體同樣有效，同樣可以讓它們失去保護(hù)手機(jī)的效果。
在進(jìn)行一個(gè)惡意轉(zhuǎn)賬之后，可以徹底地把木馬程序和所有的一些日志都進(jìn)行一個(gè)擦除。這樣的話，即使你進(jìn)行了一個(gè)報(bào)案，你把這個(gè)手機(jī)交給了警方，警方(目前)也沒(méi)有任何的辦法通過(guò)舉證分析去找到攻擊者的一個(gè)線索。
據(jù)報(bào)導(dǎo)，支付寶應(yīng)用由于缺乏一些對(duì)抗逆向分析的機(jī)制，以及并沒(méi)有對(duì)修改后的支付寶應(yīng)用進(jìn)行一個(gè)驗(yàn)證，就使得被修改后后的支付寶應(yīng)用還可以像原來(lái)一樣去連接伺服器，來(lái)完成登錄和轉(zhuǎn)賬的操作。
專(zhuān)家研究分析和測(cè)試后發(fā)現(xiàn)，攻擊者之所以能獲取手機(jī)用戶(hù)的支付寶賬號(hào)和密碼等重要的認(rèn)證信息，恰恰就是因?yàn)樗軌驅(qū)χЦ秾殤?yīng)用程序進(jìn)行插樁，植入惡意程序片段，對(duì)用戶(hù)輸入進(jìn)行監(jiān)控。
在線
客服
在線客服服務(wù)時(shí)間：9:00-18:00
客服
熱線
0551-63652142
工作日客服熱線
微信
咨詢(xún)
加微信獲取報(bào)價(jià)