支付、網銀金融App安全嗎？你必知的白帽App資安漏洞分析！

2021/08/09

支付、網銀金融App的使用越來越深入我們生活中，而金融App的安全以及網路App資安漏洞分析，也顯的越來越重要。以下就也針對傳統SDK的偵測來做個介紹吧！讓你可以更明白瞭解白帽的資安漏洞分析！

而金融App的安全，除了金融單位和一般使用者非常重視之外，現行法規還有相當多針對金融App所做的資訊安全規範，以期達到符合金融App安全的最高準則。全球幾個主要的先進國家，針對金融App的安全保護都還是採用傳統的SDK方式。SDK這類的安全防護機制主要是針對使用者的環境進行三種不同狀況的檢測，SDK則再依據檢測出來的狀況，進行所謂的反制動作。

相關對應整理如下:

傳統SDK偵測狀況	反制動作
1.使用者環境是否為越獄(JB或是Root)	金融App閃退-無法執行
2.使用者環境記憶體是否被偵測除錯	金融App閃退-無法執行
3.金融App是否被攻擊(完整性校驗)	金融App閃退-無法執行

這類的SDK保護方式簡單來說為一進一出，它必須偵測到已知的被駭行為，才能進行反制效果，這樣的保護雖然簡單直接，但實際上卻存在1個安全保護上的重大盲點。

傳統SDK偵測的重大盲點為何?

即SDK必須偵測到『被駭行為』才能出現『反制動作』。駭客可以運用這邏輯上的盲點，只要讓SDK不會偵測到『被駭行為』或是SDK永遠只能偵測到允許的『被駭行為』就不會出現『反制效果』。例如:讓SDK永遠只能偵測到使用者環境是沒有越獄的(欺騙偵測功能)。

該如何透過正確的SDK偵測，保護金融App的資訊安全？

步驟一：分析原始碼
使用SDK針對金融App進行保護，通常都是使用混淆的方式來增加被駭客解析原始碼的困難度，但由於混淆會增加金融App的原始碼容量，所以往往會因為效能問題，無法將全部的金融App原始碼進行混淆保護，反而造成金融App資安的破口。
本次測試中如下圖所示，只要使用市面上常見的反編譯工具(frida 、IDA pro…等等)，就能將原始碼狀況解析出來，由於SDK混淆太多會造成程式執行效能的問題，所以該金融App並不是全部的原始碼都有混淆保護，從中就能看到大量的重要函數曝露出來，可以方便進行原始碼的解析。

原始碼函數

從解析出來的原始碼函數，可以清楚看到綠色的函數寫上:executing shutdown hook for 或是crashlytics shutdown hook for這樣的檢測條件和結果，接下來只要針對這些函數做修改或是Bypass功能即可。

步驟二：檢測是否可被工具進行記憶體偵錯
解析完金融App原始碼，了解SDK的安全檢測邏輯後，下一步就是使用工具針對金融App進行記憶體偵錯檢測，以便於了解金融App的動態程式執行的邏輯。
這樣的工具原本是開發者可用來輔助我們追蹤出錯誤之所在，在偵錯器的控制之下，我們可以逐行地執行程式、設定中斷點（ break points）、檢視變數的值。許多程式的錯誤可以利用這些技巧迅速地找出來，減少偵錯所需的時間與精力。
但相對的，同樣的工具也成了駭客了解金融App程式執行的邏輯，找到每一個程式邏輯的中間點，在程式執行結束前加入中斷點進行植入式攻擊，讓該程式執行成駭客想要的結果內容。
該測試案例透過IDA執行後，證明可以被記憶體偵錯，代表這個金融App並沒有做到防止記憶體偵錯(Anti-Debugger)的功能。在了解該案例的程式執行邏輯後，接下就可以選擇想要執行的程式斷點，開始實驗植入攻擊或Hook攻擊的動作。

步驟三：螢幕劫持(Hijack)測試
Hijack駭客攻擊主要是為取得螢幕、鍵盤的控制權而惡意開發出一種攻擊行為，目前已經從PC平台大規模橫跨到智慧型手機上
在本次的測試中，由於使用工具後已經可以從手機記憶體上，了解該金融App的程式執行的順序，所以我們選擇在使用者帳號密碼登入前，實作一個頁面覆蓋在原先帳號密碼登入頁面上，所以使用情境就成了使用者才必須先看到Hijack的頁面，輸入完相關的資料後，才能進入正常的帳號密碼登入頁，在這過程中使用者的帳號密碼早已經落入駭客手中，造成資安上的疑慮。
在本次的測試中，該金融App除了沒有防止記憶體偵錯(Ati-Debugger)的防禦功能之外，也沒有做到偵測被螢幕劫持和完整性校驗的能力，所以在實驗的過程中，就可以輕易得達到我們想要的測試結果。

螢幕劫持(Hijack)測試

步驟四：二次打包測試
證明App有沒有完整性校驗的能力，最好的方式就是二次打包(Re-Package)。

二次打包就是透過對App的程式邏輯和安全性了解後，再進行程式碼的竄改插入惡意內容，不管從效能、使用者體驗、外觀它都跟正版的APP一模一樣，但是背後悄悄執行著可怕的程式，可能會在不知不覺中浪費手機電量、流量、惡意扣費、偷窺隱私等等行為。

其實二次打包問題只是Android應用安全風險中的一部分，一般是透過反編譯工具於APP中插入廣告程式碼與相關配置，然後透過第三方應用市場、私人論壇釋出給不知情的消費者使用。

測試的過程中，我們將原本出現的廣告頁面修改成任意想要的內容(Test)，並可以正常持續的執行這個金融App，結果證明該案例並沒有足夠的完整性校驗能力，來抵禦外部駭客的二次打包攻擊。

二次打包測試

步驟五：動態植入測試
所謂的動態植入測試，就是可以在App啟動執行的動態過程中，開始輸入修改指令加入攻擊的內容，這樣的測試方式可以證明App是否能防禦在同一個device中被另外一個App發動被駭攻擊。
本次的案例，在firda的動態測試影片中(如下影片)，可以在任何一個程式執行的過程中，植入想要修改的內容，足以證明該金融App本身的防禦機制非常薄弱，如果連Server端或是中間傳輸也沒有做任何防禦手段，是無法阻擋駭客的攻擊。

結論：
現在支付、網銀金融App肩負網路上交易的重責大任，將實際有形的現金轉換成App裡的金融數字，這是不容有些許差池錯誤或是資安漏洞，除了會破壞使用者對金融App的絕對信任感之外，更會讓金融秩序因為資安的問題造成大亂，著實需要每一個金融單位200%的重視。
但令人惋惜的是，至今還是有許多金融單位依舊是掩耳盜鈴的鴕鳥心態，以符合現有法規為原則，但法規內可能尚有不完全或是法規之外的資安風險，並不會受到重視及立即改善，往往都要等到風險造成了傷害，再來事後補救亡羊補牢。
駭客的攻擊技術是與時俱進的，唯有持續不斷得加強演練和測試不同風險漏洞，並即刻找到修補加強的方式，料敵從嚴才能將金融App的安全性提到最嚴謹的狀態。
最後建議，開發人員一定要懂得如何針對APP進行混淆、分割、重組、加密重要資訊，讓被駭的風險機率下降。如果開發團隊不太瞭解如何操作，請找專業的App安全公司，可以對APP進行全面的安全評估，以白帽駭客的想法對Mobile App的各個環節進行滲透型測試+動態植入測試，挖掘APP存在的漏洞和相對的風險，進而提早修補來提高Mobile App的安全性。

產業訊息

支付、網銀金融App安全嗎？你必知的白帽App資安漏洞分析！

其他訊息

全新登場！阿里雲 CAPTCHA 服務，給您頂級安全防護與用戶體驗

什麼是DDoS攻擊？一次教你如何做好DDoS防護，保護你的網站！

如何提升網站效能優化？推薦5個改善網站速度的方法一次看！

雲端遷移成功關鍵因素

SOC它到底是什麼?它對資安有什麼作用?對於SOC資訊安全監控的功能與優勢有哪些?

精準運維，一站監控：探索騰訊雲可觀測平台的強大功能

Page Speed網頁速度如何加快？四種方法教你如何改善網站速度！

果核 2024 首發 Hacker Talk 論壇， 破解資安求職與無人機資安盲點

如何定義開源軟體＆套件？3分鐘快速搞懂第三方套件的授權模式！

雜貨店也能數位轉型？食品零售商如何透過公有雲優化商務呢

騰訊雲CCN雲聯網 手把手配置 高效穩定企業跨境全球互聯

【2024最新】公司企業的3款最佳Devops工具，成功案例一次看！

使用CDN安全嗎？CDN如何達到基本防護功能呢?

我用的APP安全嗎？會被竊個資嗎？3分鐘快速檢查手機APP資安！

如何確保做好企業資訊安全？這4大DDoS防護方法，推薦學起來！

發現手機被追蹤怎麼辦？注意 這十大被駭徵兆，手機資安恐不 保！

如何加快網站速度?影響網速的要件及升級指南

Vertex AI 和 Workbench 語言模組實戰，打造有人性的客服小幫手

我的 AWS實例啟用失敗，應該怎麼做？

果核 2023 最終場駭客論壇，探討網站風險、原碼檢測盲點與 Crypto 黑暗面

DDOS流量清洗是什麼？可以阻擋攻擊嗎？DDOS防禦方法一次看！

Devops是什麼？推薦企業一次看懂Devops定義、流程及優缺點！

如何做好資安防護？3個APP資安檢測工具、費用及功能一次看！

CDN廠商怎麼選？中華電信CDN、Cloudflare及Multi CDN大評比！

如何檢測iOS、Android手機資安？4招檢測方法預防詐騙＆駭客！

Google Cloud 引領潮流，擴大企業級生成式 AI的應用範疇，開創無限可能！

果核邀請專家獻策，破解惡意後門與車載資安盲點

企業為什麼要上雲？用途為何？盤點上雲5大優勢和費用解析！

可自建CDN嗎？和供應商差在哪？兩者優缺點和供應商挑選一次懂！

優化數據處理體驗：探索騰訊雲 EdgeOne 邊緣計算新境界

我該如何選擇最適合 AWS EC2 實例?

企業如何挑選合適的雲端服務？公有雲、私有雲差異比較總整理

技術專欄_運用AWS Network Firewall控制 Workspaces

弱點掃描工具有哪些？5款免費、付費弱點掃描工具優缺點分析！

如何設定網站CDN？推薦公司企業使用CDN加速的4大原因！

如何應對邊緣節點的網路攻擊？在 CDN 邊緣節點建立防護系統！

如何測試網站安全？OWASP工具測試弱點掃描的功能服務解析！

如何防禦DDoS攻擊？推薦這4大DDoS防護方法，避免網站被駭！

Google Cloud 初學者指南：我該將服務運行在哪呢？

果核串聯執法機關、資安廠商與風險顧問引導企業降低遇駭危機

企業需要SOC資安監控嗎？如何評估？看懂SOC監控的5大功能！

Multi CDN是什麼？為什麼要融合CDN？其應用方法與原理一次知！

如何利用CDN內容傳遞網路讓網站加速？4大優勢與趨勢分析！

DDoS攻擊怎麼防禦？DDoS攻擊手法與資安供應商挑選一次搞懂！

為什麼網站速度慢？和網頁設計有關嗎？速度慢會造成什麼影響？

如何提升企業雲端防護力-Cloud Armor

果核 2023 首發論壇，揭示藍隊能力升級、 開發／資安磨合的奧妙心法

2021 OWASP Top 10 A09資安紀錄與監控失效

2021 OWASP Top 10 A10伺服器請求偽造

安全防護：Web Application Firewall 設定教學

主動追蹤 AWS 「資源用量」，避免配額用盡造成任務失敗

我的網站慢嗎？如何檢測讓網站加速？新手必知 5 項網站優化指南！

阿里雲訪問控制與權限設置教學

該怎麼選擇 GCP Disk ?

AWS-WorkSpaces雲端桌面服務 (下集)

SOC 是什麼？SOC 資訊安全監控 v.s NOC 網路操作中心的差異？

2021 OWASP Top 10 A08軟體及資料完整性失效

OWASP前10大A07認證及驗證機制失效，瞭解如何修補及預防！

2022 果核 Hacker Talk 漂亮收尾， 解構開發模式、弱點檢測之安全盲點

CDN 內容傳遞網路是什麼？其運作的原理及用途為何？

SOC 資訊安全監控中心是什麼？4 項功能服務與優勢一次知！

如何提高網站的速度，為中國用戶提供可靠的體驗?

如果AWS訪問密鑰暴露怎麼辦？記住這4步驟一定要先做起來！

快速上手打造專屬直播平台

2021 OWASP Top 10 A06易受攻擊和已淘汰的組件

果核Hacker Talk傳授企業資安設計要訣，並探索IoT資安風險化解之道

HACKER TALK - 常被遺漏的開發測試環境如何面對駭客迎擊? 弱點掃描是否足夠阻擋駭客攻擊? 今年最後一場論壇，精彩議程不容錯過!

資安弱點掃描v.s滲透測試，差異在哪？3分鐘看優缺點與流程！

智慧戰情室能夠帶給企業什麼好處？一次瞭解其功能與特點！

我該如何選擇最適合的阿里雲 ECS 實例?

收到 AWS Abuse Report，該怎麼辦?

AWS-WorkSpaces雲端桌面服務 (上集)

公司網站速度慢怎麼辦？4 大網站速度慢原因，與自我檢測方法一次看

智慧戰情室能夠帶給企業什麼好處？一次瞭解其功能與特點！

什麼是公有雲？公有雲安全嗎？適合哪種企業使用？

2021 OWASP Top 10 A05 Security Misconfiguration 安全設定缺陷

2021 OWASP Top 10 A04 不安全設計

果核 2024 首發 Hacker Talk 論壇，破解資安求職與無人機資安盲點

騰訊雲CCN雲聯網手把手配置高效穩定企業跨境全球互聯

發現手機被追蹤怎麼辦？注意這十大被駭徵兆，手機資安恐不保！

果核 2023 首發論壇，揭示藍隊能力升級、開發／資安磨合的奧妙心法

2022 果核 Hacker Talk 漂亮收尾，解構開發模式、弱點檢測之安全盲點

如何提升網站速度及效能？推薦先搞懂動態v.s靜態網站的差異！

從零基礎學破解的駭客工具 Magisk Root，看懂駭客攻擊如何操作！

嚇！手遊資安危機　數小時恐喪失上億營收

從Google Play下載App保證安全!？資安業者：超過100款惡意程式會偷資料、點擊詐騙

網銀App漏洞金管會關注