WooYun.org

首先这个被cncert忽略我感到很费解，危害我一会儿再分析。先说我测试其他网银的结果。上下文背景就不重复了，就是改变IE的信任域权限及添加信任网站，导致执行ActiveX的问题。
首先建设银行和光大银行的控件有和工行有类似的表现，直接修改权限。
建设银行：
和工行表现一样：修改设置、添加https网站 http://www.ccb.com/cn/html1/office/ebank/dzb/subject/12/docs/security/CCB_E_Setup_Total_20140819_x64.exe

光大银行：修改Internet zone设置： http://www.cebbank.com/site/resource/cms/2015/01/2015012616221316533.zip

当然你们也许认为Prompt了，用户点确定了，就不是插件的问题了。但我认为这也是漏洞，因为它开在了Internet域，任何网站的XSS都可能被利用，特别是一些可信的网站，更容易欺骗用户点“确定”。微软在博客里已经说了[1]:"When client-side script in a Trusted Sites page invoked an “unsafe” ActiveX, IE displayed the dialog shown below to the user. [...] So what do you suppose users did? [...] Users learned to read the question as, 'Do you want this web page to work correctly so you can do your job?' and always to click 'Yes' – on that and all other such dialogs." 大意是说：“当脚本执行不安全的ActiveX时，IE会弹出警告。但是用户会怎么选择？用户会理解成：你想让页面正常显示吗？然后就点了确定。”虽说这样利用类似钓鱼，但是如果不修复的话，是个隐患，增加了可攻击面，而且这可是代码执行啊。
中国银行：未修改设置，添加http网站 https://dlsev.boc.cn/support/seccwidgets/SecEdit.BOC.exe

中信网银：未修改设置，添加http网站： https://e.bank.ecitic.com/perbank5/download/helpmate/HelpmateSetup.exe

另外我再针对“均已标记https的链接为信任目标”说一点：用了https只能保证这个控件添加的网站不会被中间人利用。而我的两个报告的核心思想是：两个控件，一个改权限，另一个加http网址于信任列表。二者合起来就是中间人攻击。特别是，他们全是金融类网站，很可能用户同时用工行或建行和支付宝，而且使用支付宝本身就要求至少有一张银行卡，如果那张银行卡来自工行或建行，而且开了网银的话，妥妥的中间人攻击受害者。而且我印象中，工行开卡直接帮你免费开网银。全中国第一大银行（工行）+全中国第一大支付平台（支付宝）+全中国第一大浏览器（IE）=远程代码执行。这三方全拥有中国最大用户量，交叉用户得有多少？[2]
而且即使不做中间人攻击，还可以找XSS。哪个加入信任列表里的网站能保证没有存储型XSS？再退一步，就算我找不出XSS，最近不是还曝出IE11的UXSS漏洞？虽说这是微软的责任，可是工行和建行成功地把XSS漏洞升级成代码执行，这不是漏洞？有这么多利用方法，这么大的用户群体，怎么讲“攻击利用存在较高的前提”？
[1] http://blogs.technet.com/b/fdcc/archive/2011/11/03/enabling-initialize-and-script-activex-controls-not-marked-as-safe-in-any-zone-can-get-you-hurt-bad.aspx
[2] http://www.icbc-ltd.com/icbcltd/%e5%85%b3%e4%ba%8e%e6%88%91%e8%a1%8c/%e5%b7%a5%e8%a1%8c%e6%96%b0%e9%97%bb/%e4%b8%ad%e5%9b%bd%e5%b7%a5%e5%95%86%e9%93%b6%e8%a1%8c%e5%85%ac%e5%b8%832013%e5%b9%b4%e5%ba%a6%e7%bb%8f%e8%90%a5%e6%83%85%e5%86%b5.htm: “电子银行客户总数达3.9亿户”