漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0191283
漏洞标题：任意具有某服务权限的安卓应用都能轻松截获支付宝支付密码
相关厂商：支付宝
漏洞作者： 小挺子爱装B
提交时间：2016-04-01 09:40
修复时间：2016-06-30 10:10
公开时间：2016-06-30 10:10
漏洞类型：设计错误/逻辑缺陷
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org
Tags标签： 无
漏洞详情
披露状态：
2016-04-01： 细节已通知厂商并且等待厂商处理中
2016-04-01： 厂商已经确认，细节仅向厂商公开
2016-04-04： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2016-05-26： 细节向核心白帽子及相关领域专家公开
2016-06-05： 细节向普通白帽子公开
2016-06-15： 细节向实习白帽子公开
2016-06-30： 细节向公众公开
简要描述：
支付宝的安全键盘上没有做好对于某服务功能一定的防护，任意的具有该服务权限的安卓应用，并在设置中的无障碍开启的应用比如微信抢红包插件都有可能成为窃取支付宝支付密码的工具
详细说明：
支付宝的安全键盘上没有做好对于accessibility service一定的防护，任意的具有accessibility service权限，并在设置中的无障碍开启的应用比如微信抢红包插件都有可能成为窃取支付宝支付密码的工具
安卓软件有一个功能叫做无障碍，本来是用于给一些残障人士使用的，比如talkback应用给一些视力不好的人士使用，在开启后，当手指触碰到某个view的时候，系统会把这个view的内容读出来给你。
春节的时候，流行各种的微信抢红包插件就是利用了这个aceessibility service来实现获取屏幕上的信息以及自动抢红包。
虽然这个功能是用户自己开启的，而且开启的时候，提醒用户可嫩会读取信用卡信息。但是作为一个涉及到财产安全的app，还是要对这个功能做一层防护的。
在这方面，微信和掌上生活都做得很好，对于aceessibility service做了一定的防护。
然而作为一个大厂，支付宝显然没有这方面的意识，所谓的安全键盘形同虚设
漏洞证明：
现在只是在logcat里面打印出来密码，完全可以做到收集到密码后上传到服务器。甚至是自己空
视频地址：http://**.**.**.**/v_show/id_XMTUxOTA1NzM4OA==.html
修复方案：
可参考微信的防护措施，设立一个安全键盘，安全键盘的每一个键都设置一个自定义的accessibility delegate ,这样的话，支付密码就不会被任意有accessibility 权限的应用监听到
版权声明：转载请注明来源 小挺子爱装B@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：7
确认时间：2016-04-01 10:06
厂商回复：
感谢对支付宝安全的关注
最新状态：
暂无