如何狙击凶险的 App 漏洞 转账给张三 钱却被李四收到 (如何狙击凶险敌人)

这是怎么回事?

是的,很遗憾,你可能给别人充值了。但是,叫天天不应,叫地地不灵,运营商也没收到你这笔钱。

专注移动应用安全的娜迦信息公司 CTO阎文斌(花名:玩命)告诉正在阅读的读者你,不要不相信,这是最近一年来支付、游戏行业 App 最常见的 bug 。

转账给张三,钱却被李四收到,如何狙击凶险的 App 漏洞?——专访CTO玩命

【阎文斌在2017中国移动支付年会上】

一款 App 如何安全地来到你面前

这是支付行业最敏感的地带,在 2017 移动支付年会的演讲中,他没好意思当众揭伤疤,只好在采访中和雷锋网提出了这一现象。

除了上面这种和人们息息相关的漏洞。在游戏行业,有些可以使用虚拟金币的游戏 App,在程序设计时被预留了一些接口,这些接口一旦被黑客发现,就可以做外挂、刷金币。

只要你敢把自家的App 拿给玩命试一试,在网络安全江湖闯荡近 10 年,曾担任 2008 奥运会网络安全技术顾问的他就敢开干,攻下你家看似严丝密合的“堡垒”。

玩命太了解 App 的薄弱地带了,正因为太了解攻击手段,所以他才想要研究如何给App穿上铠甲,走向明枪暗箭的战场 。

在一款App 正式上战场前,玩命和他技术团队会先对App 进行一次“全面体检”,就像入职一家新公司,你需要交一份体检报告,只不过玩命做的并非提交体检报告,而是在App 要被相关机构检阅,能提交合格的体检报告前先为 App 查漏补缺;或者在一款App 版本迭代时,实时跟进检测,充当忠实的卫兵。

玩命采用静态和动态相结合方式针对客户端App进行分析。

静态分析就像解剖,研究App 的程序编写是否规范,审核相应权限,它也像新手学车,先在驾校操练,没有面对车水马龙、真枪实弹的环境。

对玩命而言,动态分析才是“练车”的关键: 把App 放在电脑虚拟机和真实手机两个环境中“演练”,考察是否其是否能在真实的环境中正常运行,安全通信。

但是,动态分析会消耗极大的资源,因此,对玩命而言,目前大量开展的还是利用自家服务器进行线下部署。

除了让 App 能够以符合标准的姿态面对这个枪林弹雨的市场,对待一些银行、游戏领域的 App ,玩命还要为其加固,套上一层又一层的铠甲。

在 2016 年的XPwn 未来安全探索盛会上,一个黑客团队对国内 20 家银行提供给消费者的、基于安卓系统的 20 个手机银行 App 进行攻击, 发现 17 家银行的 App 存在漏洞,消费者的手机一旦被黑,无论转账给“张三”还是“李四”,在输入正确账号与密码的情况下,钱最终都会转给“王五”。

在该会议上,攻击者还表示,全国 90 %多的银行App都可被劫持,由此可见,互联网金融漏洞对用户造成影响。所以,当时会上专家建议厂商能够避免 App 中存在低级错误,重视产品加固,重视逻辑漏洞,不定时的进行渗透测试。

娜迦的官网上,雷锋网发现了近 20 种加固种类。 雷锋网宅客频道的编辑很疑惑:这么多服务项目,到底哪些才是玩命主推的项目?

玩命坦诚地告诉雷锋网,

用户为什么不接纳? 一是涉及到App 安全加固项目,尤其是金融类,服务对象相当谨慎;二是有些项目实在很难解释,就算是经过专业技术培训的销售人员,除非直接派出纯技术研发人员。

于是,很多不错的加固项目不得不在“性价比”下被舍弃。

玩命还有一个烦恼,自己是“出卖安全技术而生”,是一家安全技术公司,而非提倡“免费”的互联网公司。

玩命说,

”范畴。一个严峻的形势是,如果大家产品真的都“差不多”,压价怎么办?

在这种情况下,一些大型的互联网公司也有相应的提供安全服务的部门,他们不以此技术为生,可能仅服务自己的企业。

“把一个2B 的市场做成一个走量的市场,它 现在 肯定是畸形的。”玩命感叹。

玩命的实验

在玩命的烦恼下,有一个优势,他从未忘记过。

娜迦公司的创始人团队都是做技术出身,他们很了解安全研发或者检测人员自身的需求,虽然玩命多次强调,就这个领域而言,甚至称不上“市场”,只能说是小众的需求。

比如,一个成熟的 逆向人员平时工作量很大,技术要求高。而且,培养一名逆向人员的成本比开发人员高,有没有可能让初级的逆向人员能迅速做到和成熟逆向人员一样的事情?

玩命和团队成员试图为这部分人员研发一款辅助工具——自动逆向辅助工具。

一个白帽子分析一个目标,可能出于两种目的:

1.纯研究功能如何实现、支付规则等,但是原始的汇编代码实在太多,上千类别,一时间根本找不到要的东西,如何撇开无用的部分,找到最关键的线头?

2.找bug。一个逆向人员挖漏洞,从输入到结尾,数据流怎么走,支付发到服务器,要做哪些东西?如何找到一个关键点来修改?

虽然,这款工具还需要几个月才能上市,但玩命已经在娜迦内部开始试用,比如,在为某个客户服务防盗链时,玩命需要研究当前已经对该客户造成影响的 App。这次,应用自己研发出来的“武器”,他派出去“作战”的就可以是“经验不那么丰富的人”。

也许,这款看起来受众面不是那么大的工具,正是玩命的一块试验田,这个自认为“攻无不克”、攻击力极强的 CTO 相当了解他所属的这个人群需要什么,他的实验能否成功?未来娜迦是否还会按照这个思路走,研发出“打架、防御都不怕”,同时还能不让他这么烦恼“拼走量市场”的工具?值得期待。

原创文章,未经授权禁止转载。详情见 转载须知 。

全局中部横幅
汽车衡,进口地磅,地磅厂家,无人值守称重系统丨青岛维特沃斯

维特沃斯,22年专注汽车衡,地磅,进口地磅的研发生产厂家,成功为各冶金、化工企业提供无人值守称重系统解决方案,于2017年在青岛设立分公司,咨询热线:400-030-7767!

综艺频道

爱奇艺综艺频道拥有全网、的热门综艺资源,综艺节目排行榜,热播的综艺节目在线观看。包含内地综艺、台湾综艺、韩国综艺、日本综艺、香港综艺。综艺节目类型有相亲、爱情、职场、搞笑、情感、脱口秀、选秀、真人秀、访谈、美食、游戏等。好看的综艺节目大全,综艺节目排行榜。

电视剧频道

腾讯视频致力于打造中国领先的在线视频媒体平台,以丰富的内容、极致的观看体验、便捷的登录方式、多平台无缝应用体验以及快捷分享的产品特性,主要满足用户在线观看视频的需求。

购物小游戏,购物小游戏大全,4399购物小游戏全集,4399小游戏

4399购物小游戏大全收录了国内外购物类小游戏、疯狂购物小游戏、购物狂小游戏、夏威夷购物小游戏、最新购物小游戏。好玩就拉朋友们一起来玩吧!

关注森林

林草平台:关注林业和草原,传播生态文化,打造林草行业品牌,保护生物多样性,应对气候变化。关注森林isenlin.cn:我们致力于联接森林、林业和公众。

C4D爱好者的集结地

c4d插件软件下载_c4d模型预设_插件下载

石狮市卓诚机械设备有限责任公司,卓诚机械,拉布机,铺布机,服装裁床,直销厂家

石狮市卓诚机械自动化设备有限责任公司主营蓝莲花牌服装前道的各种辅助设备,公司集开发,生产,营销于一体。公司自成立以来,以专业的技术,过硬的质量,全面的服务,赢得了市场的广泛认可;我们的团队遵循以市场为指导进行新产品的开发与改进,整合市场上各项新技术新工艺(激光切割,数控剪折板,数控机加工...),以及标准的生产流程,铸就我们优越的产品竞争力!

甘肃省高速公路服务集团有限公司

甘肃省高速公路服务集团有限公司(简称“甘肃高服集团”),是经甘肃省公路交通建设集团有限公司批准组建的全资子公司,作为甘肃公交建集团公路服务产业链的主力军,是甘肃省唯一一家现代化、专业化服务区管理集团,承担着全省高等级公路服务区经营管理和服务保障、路域广告资源开发、新能源建设、生态环保业务、机电维护与信息化产品服务、加油(气)站合作经营与服务保障等职能

非金属膨胀节

江苏姜恒膨胀节厂家生产定做非金属膨胀节,圆形非金属膨胀节,矩形非金属膨胀节,非金属膨胀节蒙皮,金属膨胀节、四氟,橡胶,管道膨胀节,电站风门等,质优价实:13921724829石经理

过期域名预订

17EX,过期域名预订、抢注、竞价综合服务商,专注于服务质量,抢注成功率,为客户提供始终如一的优质服务为己任。

吃瓜51网站

欢迎访问吃瓜51网站,您的一站式娱乐资讯平台!我们为您提供最新的吃瓜新闻、娱乐八卦、社会热点、明星动态和时事评论。无论是想了解明星背后的故事,还是关注社会事件的发展,吃瓜51都能为您带来及时、专业的报道和深度分析。加入我们,和亿万网友一起“吃瓜”,掌握最新资讯!

埃丁格

埃丁格啤酒是青岛劲派啤酒有限公司一款精品精酿啤酒,本司集啤酒原材料采购、精酿啤酒深度研发、精酿啤酒技术咨询、精酿啤酒进出口于一体的专业性精酿啤酒公司。

全局底部横幅