, [/ [; w$ [( G( r5 v& D- n6 L2 p! ]' {+ rPDF版下载 3 f. f/ @$ X. L
9 e* v% N' y: w 前言：本文还是去年年初写的，当时出于安全考虑没放出来。现在部分网上银行已大幅度降低了无高级别安全措施情况下的转账限额，并建议用户使用动态口令卡或者USB Key，总体安全系数有所提高。6 ~+ E: M0 [ m/ E. v
) |. r o* y# n8 A4 ?% B
随着子商务的普及，网上银行以及在线电子支付等方式逐渐被网民所接受和喜爱。但是网上银行以及电子商务支付平台的安全性不容乐观。尽管各网上银行采取SSL加密防止通过嗅探网络封包的方式截取密码；对于防止WEB登陆时密码被窃取，网上银行采取了安全控件或者动态软键盘的方法，但考虑的仍不全面，我们还是能采取相应的方法截获用户输入的密码。9 r: i1 H! r5 v. m4 T- b
0 U) ` G- @# z0 O4 t# i
下面就以具有代表性的四大银行：中国工商银行、中国农业银行、中国建设银行、中国银行；商业银行：招商银行；电子支付平台：阿里巴巴支付宝等为例，分别就客户端密码方面进行脆弱性分析。网上银行以及其他电子商务支付平台的WEB登陆安全性直接与用户的经济利益相关，所以有必要不遗余力的加强WEB登陆安全性的建设。另外由于不是所有的用户都使用数字证书和U盾之类安全认证产品，所以“黑客”只要截取到用户的登陆密码以及支付密码就能随心所欲的转帐/支付，危害甚大。; K( ~3 r5 }5 C3 X. ~" R
3 l V% ]7 [6 U2 y* @
本文谈的是采用纯技术截取密码，而不是用假页面假接口等钓鱼方式骗取密码的方法。 4 c7 ~4 Y; B- I1 P9 t8 I. G 9 v3 M" H9 |' A5 h; z% I- `
网上银行对于防止密码被盗分别采用了安全控件和动态软键盘的方法： , Q( C8 @9 w% t. b9 i: J9 \4 \& C6 n, C+ o( W0 ? D 1、采取安全控件的，典型代表有：中国工商银行、招商银行、阿里巴巴支付宝等. . k9 L0 w) }4 \3 x7 l; U' D 5 j- \$ Y0 O/ B( D2 Z; W3 N% c
这类安全控件考虑还算全面，防止了键盘/消息钩子，而且使通过IE的COM接口获取密码的方法也无能为力。但是这类安全控件做得不够底层，考虑得欠深入。 4 i- a4 C) V. x6 K8 U/ E. @ ' D# a( \# y. P, o
我们采用键盘过滤驱动的方法就可以突破安全控件的保护记录密码了。除了键盘过滤驱动方法外还可以挂接IDT（中断描述符表）的键盘入口，或者挂钩键盘驱动Dispatch例程以及Inline hook相应IRP分发函数。 当然，更深入点的话还可以挂钩i8042prt.sys。7 n) s3 k4 r2 g
" R# n( e' g. E- B/ P) R 不过由于编写驱动程序不同与开发普通的应用程序，难度稍大，所以目前还未见公开的采用此技术截取这些网上银行密码的木马。但是开发起来也并不是太困难，相对而言采取键盘过滤驱动的方法较通用稳定。' Y8 k) F" V3 g. K( ^
3 D, b7 y8 `) j
基本原理是我们的驱动创建一个设备附加到键盘驱动Kbdclass下的设备，这样所有的IRP（输入输出请求包）包都将先发给我们的驱动程序，然后再转发给系统中的键盘驱动，我们的驱动程序获取IRP后就可以从中获得键盘的scancode扫描码，这样就能在系统内核的层面获得键盘输入信息。键盘过滤驱动的部分代码如下：. c8 Q0 w2 o3 q& v# d
2 I3 ?" i: O0 o5 x3 F
NTSTATUS HookKeyboard(IN PDRIVER_OBJECT pDriverObject); V' ?7 e" \- m$ r, [; ]- {, _
{ . ]4 C5 L# T$ \0 E* G PDEVICE_OBJECT pKeyboardDeviceObject;/ t$ T" ?" Y: ^/ }" x. o
NTSTATUS status = IoCreateDevice(pDriverObject,sizeof(DEVICE_EXTENSION), NULL, FILE_DEVICE_KEYBOARD, 0, true, &pKeyboardDeviceObject); , f- d3 g3 j5 N! }2 b% Q: @8 k pKeyboardDeviceObject->Flags = pKeyboardDeviceObject->Flags | (DO_BUFFERED_IO | DO_POWER_PAGABLE); ; @% n9 j& n3 f; | pKeyboardDeviceObject->Flags=pKeyboardDeviceObject->Flags& ~DO_DEVICE_INITIALIZING;6 v s- o# [5 _! }% X
RtlZeroMemory(pKeyboardDeviceObject->DeviceExtension, sizeof(DEVICE_EXTENSION)); 5 q# P, p$ A2 X# E* g9 _+ Z PDEVICE_EXTENSION pKeyboardDeviceExtension=(PDEVICE_EXTENSION)pKeyboardDeviceObject->DeviceExtension; % c3 U/ \/ t9 y9 Y$ W$ t CCHAR ntNameBuffer[64] = "\\Device\\KeyboardClass0";! ]$ `- i6 h! k9 F( o
STRING ntNameString; 2 J9 T; F! z" \& X& W% V UNICODE_STRING uKeyboardDeviceName; 1 K: T9 f* F/ p4 }* {# V; G RtlInitAnsiString( &ntNameString, ntNameBuffer );7 b- _- P2 p) E/ W6 `' w5 r; V S
RtlAnsiStringToUnicodeString( &uKeyboardDeviceName, &ntNameString, TRUE ); ; H% {$ M7 j6 l# Q# K0 F4 W4 H IoAttachDevice(pKeyboardDeviceObject,&uKeyboardDeviceName,&pKeyboardDeviceExtension->pKeyboardDevice); , j" \. c+ {1 m/ l# C RtlFreeUnicodeString(&uKeyboardDeviceName);! x/ h' l5 I9 y% p' d' f
return STATUS_SUCCESS; ) t) l! n4 O8 v. m& W: w }' b2 w" f: d/ @1 h" L4 }
: s B) |5 }& m: c* k1 n
% A& d f8 f, o( O! g 下面以工商银行的网上银行为例，演示我们的程序。为了演示，我们的驱动程序将实时打印出获得的键盘记录的信息，并且把完整的信息记录到磁盘文件上。招商银行、阿里巴巴支付宝等效果等同，支付密码用此法同样能截取。截取时实时打印的信息 如图1：* |% P7 l. F6 T0 y2 _; Y1 `- F
9 W6 r6 _; E, n) x
5 O# k# V6 V% M; |2 q/ E
记录到文件里的完整信息：如图2：$ M' _! w1 @5 a' D8 ^" u5 y) I5 I
% c+ `, _- V' S! }, y Q0 u8 r
3 R; u3 b3 d9 f/ h9 Q) m
$ d" u/ T( c$ B3 M
配合发送邮件或者ASP/PHP留言的方式我们就能远程的得到密码。 5 n" e3 ~9 d. o7 d+ J* D3 T e9 P 6 j7 G. c: g( q j: a2、采取动态软键盘的，典型代表有：中国建设银行、中国银行、中国农业银行$ U* w/ `9 y3 S( o- B' w& g
7 |+ B1 M* u3 ]1 S
采用动态软键盘技术初看确实能使攻击者无法截获密码，但是截取密码的方法不仅仅是接截获键盘记录一种方法。我们可以通过IE的COM获取的密码。 7 [1 r. r5 w/ _& E z0 p
' ?9 k% H$ ?. u+ Q; x
对于中国建设银行，通过IE的COM接口获取的密码框里的内容就是密码，其他大部分采用软键盘技术的网站大都也是这样。但是中国农业银行WEB程序中做了一点处理，通过鼠标点击软键盘传入密框的内容不是实际密码而是按钮序号，所以我们只要枚举当前窗口，发现是中国农业银行的网上银行页面时，我们的程序就自动截图发给我们，我们根据所截获得的图象和通过IE的 COM接口所获得的序号伪密码之间的关系进行转换（抽象为一个简单的函数映射），很容易的。这样便获得了农行网上银行的密码。下面是截取中国建设银行网上银行密码的演示截图，利用动态软键盘的其他网站效果相同。如图3：（衍生：对付应用程序的部分软键盘可以运用Hook TextOutW/A的类似屏幕取词的方法来截取。）( B7 _- E5 @- G1 } ?: \. x) }
