339 lines
15 KiB
Markdown
339 lines
15 KiB
Markdown
# 银行 / 金融行业渗透 playbook
|
||
|
||
> 视角：黑盒，针对国内银行（国有/股份制/城商/民营）+ 第三方支付 + 聚合支付 + 互金平台。
|
||
> 数据基础：金融领域 2,919 个真实案例，68%–88% 高危占比。
|
||
|
||
---
|
||
|
||
## 1. 一句话定位
|
||
|
||
银行/金融业的漏洞特点：**资金类漏洞占比小但单发价值高**，**鉴权层 + 接口层是主战场**。一个支付绕过的赏金可以等于普通 SaaS 一年的全部收益。
|
||
|
||
不要盯着"网银 RCE"——那是十年前的玩法。今天值钱的是：
|
||
- 第三方支付 / 聚合支付的接口签名缺陷
|
||
- 手机银行 APP 的接口（鉴权往往比 Web 弱）
|
||
- 直销银行 / 微信银行的"轻量化"业务系统
|
||
- 信贷 / 风控管理后台的越权
|
||
|
||
---
|
||
|
||
## 2. 攻击面分层模型
|
||
|
||
```
|
||
┌─────────────────────────────────────────────────────────────────────────┐
|
||
│ 第一层：互联网边界 │
|
||
├─────────────────────────────────────────────────────────────────────────┤
|
||
│ 网银系统 │ 手机银行 │ 微信银行 │ 直销银行 │ 信用卡中心 │ 官网/活动页 │
|
||
│ 小程序 │ APP │ H5 │ 公众号 │ 营销活动 │ 客服系统 │
|
||
└─────────────────────────────────────────────────────────────────────────┘
|
||
│
|
||
┌─────────────────────────────────────────────────────────────────────────┐
|
||
│ 第二层：接口/通道层 │
|
||
├─────────────────────────────────────────────────────────────────────────┤
|
||
│ 支付接口 │ 银联通道 │ 快捷支付 │ 代扣代付 │ 聚合支付 │ 开放银行 API │
|
||
│ 发卡接口 │ 风控接口 │ 短信网关 │ 二次认证 │ 数字证书 │ 人脸识别 │
|
||
└─────────────────────────────────────────────────────────────────────────┘
|
||
│
|
||
┌─────────────────────────────────────────────────────────────────────────┐
|
||
│ 第三层：内部系统层 │
|
||
├─────────────────────────────────────────────────────────────────────────┤
|
||
│ 核心银行 │ 信贷系统 │ 风控系统 │ 反洗钱 │ 客户管理 CRM │ 报表系统 │
|
||
│ 对账系统 │ 清算系统 │ 票据系统 │ 衍生品 │ 内部 OA │ 邮件系统 │
|
||
└─────────────────────────────────────────────────────────────────────────┘
|
||
```
|
||
|
||
---
|
||
|
||
## 3. 高危漏洞类型分布（金融特化）
|
||
|
||
### 3.1 第一梯队：资金类（68%–88% 高危）
|
||
|
||
| 漏洞类型 | 高危占比 | 银行特有场景 | 主要 playbook |
|
||
|---------|---------|-------------|--------------|
|
||
| 密码重置 | 88.0% | 网银/手机银行登录密码、交易密码、支付密码 | `logic-flaws.md` §3.1 |
|
||
| 提现 | 83.1% | 转账限额绕过、提现校验缺陷 | 本篇 §4.3 |
|
||
| 金额篡改 | 83.0% | 转账金额、理财金额、还款金额 | `logic-flaws.md` §3.4 |
|
||
| 余额篡改 | 77.9% | 账户余额、积分、虚拟卡 | 本篇 §4.4 |
|
||
| 订单篡改 | 74.2% | 信用卡订单、理财下单 | `logic-flaws.md` §3.4 |
|
||
| 价格篡改 | 74.3% | 理财产品价格、增值服务 | `logic-flaws.md` §3.4 |
|
||
| 支付绕过 | 68.7% | 快捷支付、代扣代付、跨行转账 | 本篇 §4.1 |
|
||
|
||
### 3.2 第二梯队：鉴权 / 信息类
|
||
|
||
| 漏洞类型 | 案例数 | 银行特化场景 |
|
||
|---------|-------|------------|
|
||
| 弱口令 | 7,513 | 网银运维后台、ATM 监控、行内 OA |
|
||
| 越权 | 1,705 | 查看他人账户 / 流水 / 客户信息 |
|
||
| 验证码 | 334 | 登录、转账、密码重置、人脸识别 |
|
||
| 信息泄露 | 4,858 | 客户 PII / 交易记录 / 信贷资料 |
|
||
|
||
### 3.3 第三梯队：客户端 / 移动端
|
||
|
||
银行特有，通用 SRC 库少有覆盖：
|
||
|
||
- **手机银行 APP 加固绕过**：Frida / Objection 反调试
|
||
- **SSL Pinning 绕过**：Frida hook
|
||
- **本地存储敏感数据**：sqlite / sharedPrefs / 内存中的明文密码
|
||
- **签名算法逆向**：交易请求签名（HMAC / RSA）
|
||
- **小程序密钥硬编码**：微信小程序包内的 AppSecret / 签名 key
|
||
|
||
---
|
||
|
||
## 4. 银行特有攻击场景
|
||
|
||
### 4.1 第三方/聚合支付接口（重点矿区）
|
||
|
||
```
|
||
攻击面：
|
||
├── 商户密钥泄露（GitHub/Gitee/外包代码）
|
||
├── 异步通知（notify_url）签名缺陷
|
||
├── 同步回调（return_url）参数可控
|
||
├── 金额二次校验缺失
|
||
├── 商户号越权（A 商户的 mch_id 用 B 商户密钥）
|
||
└── 测试支付网关凭据（沙箱密钥用于生产）
|
||
```
|
||
|
||
**探针清单**：
|
||
|
||
```bash
|
||
# 1. notify_url 重放
|
||
curl -X POST https://target/pay/notify \
|
||
-d "out_trade_no=ORDER001&total_fee=100&trade_status=SUCCESS&sign=XXX"
|
||
# 看是否多次发货
|
||
|
||
# 2. 签名校验缺失测试
|
||
# 删除 sign / 置空 sign / 用错误 sign
|
||
curl -X POST https://target/pay/notify -d "out_trade_no=ORDER001&trade_status=SUCCESS"
|
||
|
||
# 3. 修改 total_fee 但保持 sign
|
||
# （多数实现是先校 sign 再处理金额，但有少数实现把 sign 算法暴露在前端）
|
||
```
|
||
|
||
**关键参数**：`amount` / `total_fee` / `price` / `total` / `out_trade_no` / `trade_no` / `mch_id` / `sign` / `signature` / `appid` / `nonce_str` / `notify_url` / `return_url` / `attach`。
|
||
|
||
### 4.2 手机银行 APP
|
||
|
||
```
|
||
APP 渗透流程：
|
||
1. 抓包突破：绕过 SSL Pinning（Frida / Objection）
|
||
2. 逆向分析：脱壳 → jadx 反编译 → 签名算法逆向 → 密钥提取
|
||
3. Hook 测试：绕过人脸/指纹/手势校验、修改限额检测
|
||
4. 接口比对：APP 接口 vs Web 接口的差异（APP 接口往往鉴权更弱）
|
||
5. 内部 SDK：埋点/推送/客服 IM 的 SDK 是否暴露内部接口
|
||
```
|
||
|
||
**APP 鉴权常见缺陷**：
|
||
- APP 接口仅校验 token，不校验角色
|
||
- APP 接口跳过 Web 的 WAF / 风控
|
||
- APP 接口的 user-agent / 客户端类型 校验可绕过（仿造 `User-Agent: BankApp/1.0`）
|
||
|
||
详见 `playbooks/mobile.md`。
|
||
|
||
### 4.3 提现 / 转账（83.1% 高危）
|
||
|
||
```
|
||
转账接口测试矩阵：
|
||
1. 金额向负
|
||
amount = -1000 → 收款方扣款，发款方加款
|
||
2. 限额绕过
|
||
- 改 amount 数据类型：number → string ("100")
|
||
- 用科学计数：1e10
|
||
- 用极小小数：0.001 × 1000 次（凑齐限额）
|
||
3. 双花 / 竞态
|
||
并发提现 N 次余额额度
|
||
4. 改收款方 (to_account / payee_id)
|
||
把转账目标改成攻击者控制的账户
|
||
5. 状态机
|
||
- 改 status=SUCCESS（伪造已成功）
|
||
- 重放成功的转账回调
|
||
```
|
||
|
||
**红线**：
|
||
- 不实际向陌生账户转账。所有金额测试用研究员自有账号 → 自有账号。
|
||
- 极小金额（0.01 元）即停。
|
||
- 任何"返还" / "撤回"操作都要立即截图存证，便于后续对账。
|
||
|
||
### 4.4 余额 / 积分 / 卡券
|
||
|
||
| 攻击 | 方法 |
|
||
|------|------|
|
||
| 负向转账 | `amount=-100` |
|
||
| 余额计算绕过 | 客户端请求中改 `balance` 参数 |
|
||
| 小数精度漏洞 | 提现 0.001 × 10000 次（舍入累积）|
|
||
| 卡券生成 | 任意调发卡接口 |
|
||
| 积分汇率 | 兑换接口里改"1 积分 = X 元"的值 |
|
||
|
||
真实案例：
|
||
- 神舟专车充值流程免输信用卡交易密码（套现绕过）
|
||
- 鱼泡泡 APP 任意用户登录可影响余额（sign 绕过）
|
||
- 宁波银行直销银行看任意卡余额
|
||
- 中国平安某处验证逻辑问题导致管理商品价格
|
||
|
||
### 4.5 验证绕过（金融行业特别版）
|
||
|
||
#### 短信验证码
|
||
|
||
```
|
||
├── 爆破：4–6 位数字 + 100 线程，30 秒爆完
|
||
├── 并发：绕过频率限制
|
||
├── 复用：同一验证码用多次
|
||
├── 回显：响应中泄露
|
||
├── 万能：测试期 0000 / 1234
|
||
└── 跨流程：注册流程的码用于重置
|
||
```
|
||
|
||
#### 人脸识别
|
||
|
||
```
|
||
├── 照片攻击：纸照 / 屏幕回放
|
||
├── 视频攻击：眨眼 / 摇头视频
|
||
├── Hook 返回值：Frida hook 人脸校验函数
|
||
├── 接口重放：重放成功的人脸 API 响应
|
||
└── 替换人脸数据：抓包修改 face_data 字段
|
||
```
|
||
|
||
#### U 盾 / 数字证书
|
||
|
||
> 大多数 U 盾相关攻击在 2020 年后已被生物识别+硬件 TEE 取代，仅在企业网银仍少量在线。
|
||
|
||
#### 交易签名
|
||
|
||
```
|
||
├── 签名密钥硬编码 / 通过 GitHub 找到
|
||
├── 关键字段未参与签名（如改 amount，sign 不变也通过）
|
||
├── 签名校验可选（删 sign 字段直接通过）
|
||
└── 签名算法降级（RSA → HMAC → MD5 → 无）
|
||
```
|
||
|
||
---
|
||
|
||
## 5. 高价值目标资产
|
||
|
||
| 目标系统 | 价值 | 黑盒可见度 |
|
||
|---------|-----|-----------|
|
||
| 核心银行系统 | ⭐⭐⭐⭐⭐ | 极低（内网） |
|
||
| 信贷系统 | ⭐⭐⭐⭐ | 中（部分对外暴露审批/查询接口） |
|
||
| 风控系统 | ⭐⭐⭐⭐ | 低 |
|
||
| 反洗钱系统 | ⭐⭐⭐⭐ | 低 |
|
||
| CRM / KYC | ⭐⭐⭐ | 中 |
|
||
| 客服 / 工单系统 | ⭐⭐ | 高（最容易突破） |
|
||
| 营销活动 / H5 | ⭐⭐ | 极高（最常见入口） |
|
||
| 信用卡中心 | ⭐⭐⭐⭐ | 中 |
|
||
|
||
**实战路径**：从营销活动 H5 / 客服系统 → 撞库 / 越权 → 客户 PII → 联动信用卡中心 → 信贷系统。
|
||
|
||
---
|
||
|
||
## 6. GetShell / 横向移动
|
||
|
||
### 6.1 边界设备
|
||
|
||
```
|
||
VPN / 网关漏洞：
|
||
├── Pulse Secure CVE-2019-11510
|
||
├── Fortinet CVE-2018-13379
|
||
├── Citrix CVE-2019-19781
|
||
├── 深信服 VPN 任意密码重置
|
||
└── 安恒 / 启明 / 天融信 设备弱口令
|
||
|
||
CDN 回源：
|
||
├── 找真实 IP（fofa "icon_hash" / 历史 DNS）
|
||
├── 直接打回源
|
||
└── 配置层：Host 头注入
|
||
```
|
||
|
||
### 6.2 第三方外包 / 供应链
|
||
|
||
```
|
||
供应链路径：
|
||
├── 外包公司 → 开发测试环境 → 正式环境
|
||
├── 设备供应商 → 预置账号
|
||
├── 服务提供商 → 短信 / 身份核验 / 反欺诈 SDK
|
||
└── 印刷厂 / 卡商 → 卡号 / 加密密钥
|
||
```
|
||
|
||
### 6.3 GetShell 优先级（金融场景）
|
||
|
||
```
|
||
1. Struts2 RCE（S2-045/046/048/052/057/059）── 银行老系统常见
|
||
2. WebLogic 反序列化（CVE-2017-10271 / 2019-2725 / 2020-14882）
|
||
3. Shiro 反序列化（rememberMe）── 国产 OA / 工单系统常见
|
||
4. Fastjson RCE 1.2.x ── 接口层常见
|
||
5. Log4Shell ── 内部日志框架
|
||
6. 文件上传绕过 ── OA / CMS 编辑器
|
||
```
|
||
|
||
详见 `playbooks/rce.md` 和 `playbooks/file-upload.md`。
|
||
|
||
---
|
||
|
||
## 7. 实战 Checklist
|
||
|
||
### 7.1 信息收集
|
||
- [ ] 子域枚举（含 ipv6）
|
||
- [ ] APP / 小程序 / 公众号下载分析
|
||
- [ ] GitHub / Gitee / 码云代码搜索（公司名 + commitor 邮箱）
|
||
- [ ] 历史接口 Wayback Machine
|
||
- [ ] 微信小程序 + 公众号底部菜单的 H5
|
||
- [ ] 营销活动页 / 双 11 / 春节红包活动页
|
||
- [ ] 客服系统 / 工单系统的子域
|
||
- [ ] 信用卡中心独立子站
|
||
|
||
### 7.2 漏洞探测
|
||
- [ ] 弱口令（运维后台 / OA / 邮件）
|
||
- [ ] 业务逻辑（支付 / 转账 / 密码重置 / 信用卡分期）
|
||
- [ ] 越权（横向 / 纵向）
|
||
- [ ] 接口安全（签名 / 加密 / 重放）
|
||
- [ ] APP 客户端安全（脱壳 / Pinning / 本地存储）
|
||
- [ ] 第三方支付 notify_url 缺陷
|
||
- [ ] 验证码（短信 / 图形 / 人脸）
|
||
- [ ] 任意 X 子授权（任意账号 / 任意操作）
|
||
|
||
### 7.3 深度利用
|
||
- [ ] 支付金额篡改（自账→自账）
|
||
- [ ] 验证码并发爆破
|
||
- [ ] 人脸识别接口重放
|
||
- [ ] 并发条件竞争（提现 / 优惠券）
|
||
- [ ] 内部接口越权（仅限可证明）
|
||
|
||
---
|
||
|
||
## 8. 真实案例指纹（金融）
|
||
|
||
| 案例 | 一句话指纹 | 漏洞分类 |
|
||
|------|----------|---------|
|
||
| 中原银行 GetShell（影响财付通 / 支付宝）| 边界 Web RCE → 内网 | 边界 RCE |
|
||
| 通联支付文件遍历读取（Oracle EBS）| `/oracle.../read?path=` | 任意文件读 |
|
||
| 某第三方支付机构 SOAP 注入（DBA + 9 库）| WSDL 暴露 + WS 注入 | SQLi |
|
||
| 神舟专车充值免交易密码 | 客户端跳过 PIN | 支付绕过 |
|
||
| 鱼泡泡 APP 任意账号 | sign 字段空值绕过 | 任意账号 |
|
||
| 宁波银行直销银行看任意卡余额 | API 不校验账户归属 | IDOR |
|
||
| 百姓大药房 2000W PII + 余额 | 弱口令 + 后台越权 | 弱口令 |
|
||
| 中国平安 100W PII + 价格管理 | 鉴权 + 价格校验缺失 | 越权 |
|
||
|
||
---
|
||
|
||
## 9. 红线（金融行业 SRC 特别版）
|
||
|
||
- **绝不**：转账给陌生账户。研究员账号自转自即停。
|
||
- **绝不**：实测信用卡盗刷 / 套现 / 实物兑换。
|
||
- **绝不**：使用真实客户的身份证 / 银行卡 / 手机号测试。准备 5+ 个研究员名下的测试卡。
|
||
- **绝不**：扫描银行公开 IP 段（涉嫌违反《关键信息基础设施安全保护条例》）。仅扫漏洞奖励计划明确授权的资产。
|
||
- **绝不**：在生产环境留 webshell / cron / SSH 公钥。证明到 RCE 即停，立即清理 + 在报告中说明清理时间。
|
||
- **绝不**：数据外泄（即使是给厂方）。报告中只贴 1–3 条脱敏样本。
|
||
|
||
---
|
||
|
||
## 10. 与方法论 / 字典链接
|
||
|
||
```
|
||
methodology/05-srctimebox-priority.md → 金融行业的 88% / 83% 重点漏洞
|
||
playbooks/logic-flaws.md → 支付 / 订单 / 密码重置详细
|
||
playbooks/arbitrary-x-authz.md → 任意账号（86.4%）/ 任意操作
|
||
playbooks/oauth-saml-jwt.md → SSO / JWT / 联邦身份
|
||
playbooks/mobile.md → 手机银行 APP
|
||
playbooks/race-conditions.md → 并发提现 / 优惠券
|
||
dictionaries/default-credentials-cn.md → 网银 / OA / 监控的国产默认凭据
|
||
dictionaries/chinese-srcfingerprints.md → 金融常见组件指纹（致远 OA / 用友 / 金蝶等）
|
||
```
|