漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0114949
漏洞标题：中国建设银行软键盘存在绕过风险
相关厂商：中国建设银行
漏洞作者： 路人甲
提交时间：2015-05-19 16:21
修复时间：2015-08-21 15:56
公开时间：2015-08-21 15:56
漏洞类型：设计错误/逻辑缺陷
危害等级：高
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-19： 细节已通知厂商并且等待厂商处理中
2015-05-23： 厂商已经确认，细节仅向厂商公开
2015-05-26： 细节向第三方安全合作伙伴开放
2015-07-17： 细节向核心白帽子及相关领域专家公开
2015-07-27： 细节向普通白帽子公开
2015-08-06： 细节向实习白帽子公开
2015-08-21： 细节向公众公开
简要描述：
详细说明：
建行的网银设计思想挺不错的，但是细节上还有不足，导致了安全风险。
详见证明。
漏洞证明：
建行网页版网银和其他银行不同，不依赖对键盘输入的保护，而是引导用户使用软键盘，试图从根本上解决键盘记录的威胁，但是依旧保留了切换至键盘输入的选项，并且没有对键盘记录器做任何对抗，导致轻易截取账号密码。
软键盘方面，虽然建行对客户做了引导，但是自身软键盘保护有所不足，可以通过全屏覆盖99%透明窗口，截取鼠标消息并截图的方式截取用户密码。
为了明显，demo的窗口透明度为50%：
修复方案：
既然已经加载了控件，顺便对抗一下键盘记录呗
软键盘可以检测鼠标，将鼠标停留/点击的键隐藏
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：3
确认时间：2015-05-23 15:55
厂商回复：
CNVD未直接复现，已经转报给了中国建设银行信息化管理部门。根据所述风险，未确认为漏洞，仅为安全提示风险。rank 3
最新状态：
暂无