7月7日，360安全中心獨家發(fā)現(xiàn)騰訊財付通支付產(chǎn)品出現(xiàn)高危漏洞，導(dǎo)致其數(shù)字簽名證書被黑客利用，其危害相當于為木馬病毒頒發(fā)了“免死金牌”，主要影響QQ彩鉆、騰訊拍拍，以及接入財付通支付平臺的購物網(wǎng)站用戶，目前國內(nèi)僅360安全衛(wèi)士能夠獨家攔截并查殺此類木馬。
據(jù)介紹，數(shù)字簽名相當于軟件程序的“身份證”，當具備有效數(shù)字簽名的程序運行時，殺毒軟件普遍會自動信任這類程序，無條件予以放行。而騰訊財付通漏洞是由于其數(shù)字簽名證書缺乏必要的安全機制，任何人使用手機就可以申請到；同時，該證書也沒有控制使用權(quán)限，可以為任意程序提供數(shù)字簽名，包括木馬病毒。
此前，黑客在對木馬病毒進行“免殺”處理時，通常需要定位特征碼、加殼等一系列復(fù)雜的操作，并且很難突破所有主流殺毒軟件。利用騰訊財付通漏洞，即便是一個所有殺毒軟件都能殺的木馬，幾分鐘內(nèi)就可以變?yōu)閹еv訊公司身份標識的“合法程序”，使絕大多數(shù)殺毒軟件攔截失效。
截至發(fā)稿前，360已將騰訊財付通漏洞細節(jié)提交給國家漏洞庫和騰訊公司，并向騰訊公司提供了漏洞修復(fù)方案。QQ彩鉆、騰訊拍拍等財付通用戶只要正常開啟360安全衛(wèi)士“木馬防火墻”，即可有效攔截騰訊財付通木馬。
騰訊財付通漏洞分析
漏洞名稱：財付通數(shù)字證書權(quán)限控制漏洞
漏洞描述：財付通的數(shù)字證書可以由個人隨意申請，僅需要綁定一個手機號碼，缺乏嚴格的身份驗證機制。同時，財付通數(shù)字證書含有與證書相對應(yīng)的私鑰，且證書的頒發(fā)預(yù)期目的是“所有權(quán)限”，這就意味著此證書可以被黑客惡意利用，比如為木馬提供數(shù)字簽名。目前360云查殺系統(tǒng)已捕獲相應(yīng)的木馬樣本，經(jīng)測試絕大多數(shù)殺毒軟件無法防御和查殺此類木馬。
圖1：帶有財付通數(shù)字簽名的木馬樣本
驗證實例：利用財付通漏洞對記事本程序notepad.exe進行代碼簽名，數(shù)字簽名信息如下圖：
漏洞影響：使用財付通且安裝了Tenpay.com Root CA的電腦，如QQ彩鉆用戶、騰訊拍拍用戶，以及其它接入財付通支付平臺的購物網(wǎng)站用戶。
防范建議：360木馬防火墻能夠攔截此類帶有財付通數(shù)字簽名的木馬。同時，網(wǎng)民應(yīng)注意防范陌生可疑的下載站提供的文件，上網(wǎng)購物時避免接收運行陌生人發(fā)來的文件。
圖2：利用財付通漏洞為記事本程序加入財付通數(shù)字簽名
修復(fù)方案：財付通對所頒發(fā)的數(shù)字證書進行預(yù)期目的限制，并對申請人加上必要的身份驗證。
圖3：360木馬防火墻攔截“財付通木馬”
推薦閱讀
盛大文學(xué)公司CEO侯小強的一張照片吸引了我，舒懶地仰靠在沙發(fā)后，表情淡然，甚至流露出些許頹廢之色，很有些文藝青年的做派，完全令人無法與CEO職業(yè)經(jīng)理人關(guān)聯(lián)在一起，然而在談及他的商業(yè)理念及盛大時，理性、坦誠成>>>詳細閱讀
本文標題：騰訊財付通漏洞分析：為木馬濫發(fā)“免死金牌”
地址：http://www.oumuer.cn/a/01/20111230/208942.html
網(wǎng)友點評
精彩導(dǎo)讀
科技快報
品牌展示