金融行业平台常见安全漏洞与防御

‍‍2.1统计‍‍

‍‍我们对曾测试对约多家金融交易平台进行过一次漏洞统计，除了常见的一些如注入、跨站、CSRF、恶意上传等Web漏洞外，部分金融平台在业务功能上存在着严重的风险，如任意用户密码重置、交易参数恶意篡改等，与常见的注入、恶意上传不同，这些业务逻辑的漏洞不会直接影响服务器的安全，但却会直接影响用户的资金、账号的安全，其风险程度有过之而无不及，若被黑客所利用或被曝光，将严重影响平台公信力。‍‍

‍‍‍‍我们对常见的漏洞进行过统计，发现其中越权操作的占比最高，在我们所测试过的平台中基本都有发现，包括任意查询用户信息、任意删除等行为；最严重的漏洞出现在账号安全，包括重置任意用户密码、验证码暴力破解等。下面我们将以举例的方式给介绍一些常见的安全问题以及其解决方法。‍‍‍‍

‍‍2.2越权操作‍‍

‍‍漏洞描述‍‍

‍‍平行权限越权操作其实是一种较为常见的安全漏洞，在OWASPTop10中也有所提及，分别为不安全对象引用和功能级别访问控制缺失。‍‍

‍‍其中不安全对象引用指的是平行权限的访问控制缺失，比方说，A和B两个同为一个网站的普通用户，他们之间的个人资料是相互保密的，A用户的个人资料可以被B用户利用程序访问控制的缺失恶意查看，由于A用户和B用户之间是一个同级的账号，因此称为平行权限的访问控制缺失。功能级别访问控制缺失指的是垂直权限的访问控制缺失，比方说，A账号为普通账号、B账号为管理员账号，B账号的管理页面时必须是以管理员权限登录后方可查看，但A账号可通过直接输入管理页面URL的方式绕过管理员登录限制查看管理页面，由于A用户和B用户的权限是垂直关系，因此称为垂直权限的访问控制缺失。该类型属于业务设计缺陷的安全问题，因此传统的扫描器是无法发现的，只能通过手工的渗透测试去进行检查。在金融平台中以平行权限的访问控制缺失较为常见。‍‍

‍‍案例‍‍

‍‍在金融交易平台中，该类型的安全漏洞主要出现在账号余额查询，账号个人资料篡改等功能上。下面我们通过几个简单的案例给大家进行说明‍‍

‍‍⑴任意修改用户资料‍‍

‍‍某交易平台的用户可以通过该系统的个人资料修改页面修改个人的昵称和头像。‍‍

‍‍截取发送修改请求的数据包抓取进行分析。我们发现在提交的过程中，其实请求自带了一个隐藏的参数investor.loginName，其实investor.loginName为登录的手机号码（或用户名），investor.Name为重置的用户名，通过直接修改掉参数investor.loginName为任意注册的用户名或者手机号码，即可成功篡改重置该用户的用户名。 ‍‍