多样化的终端安全.pptVIP

总结 由前面的各种案例来看，手机APP后台，包括充值缴费机、ATM机在内的这些终端设备，可以很确定的说它们绝对没有处在绝对安全的环境下。 随着世界主流的趋势，国内针对终端设备的入侵会越来越多。入侵的手段也会越来越多样化，令人防不胜防。案例中没有太深入的讲解入侵手段(篇幅也不够)，但是体现出来的是手段的综合多样，这不仅仅是在考验黑客的水平，更是在考验安全工作者的工作水平和技术水平。 多样化的入侵必然造成多样化的灾难，远程切断视频，复制银行卡，记录密码。。。晚一天重视可能就意味着以后要多一个大盖帽去日夜蹲守ATM抓证据。。。 The End 感谢!~ 演讲：YoCo Smart 加拿大ASPER商学院工商管理学士 习科道展网络信息安全有限公司 运营主管 yoco.smart@blackbap.org PS:不懂制图，阅历也不高，希望大家包涵 (*^__^*) * Page * 多样化的终端安全 by Yoco Smart 终端机的定义 早期定义：计算机的显示终端，只有显示设备，但是没有进行处理的主机。 随着科技的进步和时代的发展，与用户的大量交互已成为趋势，原有的终端设备已经不能满足发展的需求，原有的定义也已经渐渐被模糊。 当代定义： 计算集群中非核心数据的处理设备，且与用户交互的一端（图形交互、网络交互），此类设备均称成为终端机。 举例：银行ATM，KTV点歌系统，手机APP 越来越多样化的交互。。。衍伸越来越多的安全问题。。。 终端机安全的范围 根据面向的对象可以分为大致的两类： 1，面向全体大众的终端设备/终端程序 用途：营销、导游 典型：手机APP，国外大学校内宣传终端 渗透目的：控制总端 2，面向小众化固定人群的终端机 用途：单纯的代替人工服务 典型：营业厅充值机、ipad授课 渗透目的：控制/记录 交互用户的操作、数据等 案例 1 ：手机APP攻击 交友APP后台 针对手机APP的攻击方式 注入漏洞↓ 5% 包含漏洞↓ 1% XSS入侵↑ 85% 其他入侵↑ 5% 抓包进行常规分析或者APP内插XSS代码 （↑代表上升趋势 ↓代表下降趋势） 案例2：APP XSS 确认该漏洞已经修复，或许还可以绕过 恶意崩溃掉终端设备上的交互程序 终端设备大多基于主流操作系统，理论上完全可行 本案例为最简单的内存爆满重启 脆弱的交互式程序 终端机交互程序中 可被利用的地方： 1，反馈部分 问题反馈部分最常见于早期设备，通常是厂家为了收集程序问题而加的email地址，导致弹出outlook等最终被利用，也有其他非email类的可以利用； 2，帮助部分 大多交互式程序都带有“帮助”或者“说明”部分，通常会扩展到html或者chm的界面，这里利用起来是及便利的； 3，其他部分 一些属性特殊的输入框可以通过操作调出输入法等；一些地方可以操作出打印的操作也可以利用。 像首都机场中的自助终端可以在swf游戏中调出资源管理器，总之不一而论。 案例回顾1：某ATM 这是一个典型的扩展html作为帮助部分的交互程序。从菜单我们可以看到这台终端机使用的是windows系统。 基于windows系统的交互程序基本上就是一个全屏程序，只要想办法操作出非全屏程序的部分就可以了。 案例回顾1：某ATM Windows的全屏程序很容易因为一些特殊操作而显示出开始菜单。使用任务管理器就能把全屏程序退出了。 Tips: 有朋友会问，ATM机或者其他类型的终端机基本上都是触屏，怎么样来输入命令，用到键盘的时候怎样用鼠标代替。Linux下的话要输入命令确实很麻烦，但是在windows下这就是个简单到不能再简单的问题了。 windows自带虚拟键盘，在开始菜单里面是可以调出来的。 更高端点的终端机入侵 在ATM机上面崩溃程序并没有实际意义。唯一可以完成的就是破坏。给后续使用者造成障碍。 尝试点高端的玩法： 远控终端机 远控终端机可行性探究 可行性分析： 终端机一定不会直接与广域网(因特网)接入，也不会与外界网络有任何数据的交互，从这一点看似乎可行性并不高。但是终端机一定会与核心数据库(或外围负载均衡系统)连接并交互数据。 Web 2.0时代，电子银行、网上充值这一系列的服务被要求服务中心对外提供越来越多的接口。因此终端机并不绝对安全，所处的局域网络也不是绝对隔离。 因此理论上来