浅析互联网金融交易平台的安全 作者：何家欢 来源：《经营管理者·中旬刊》2017年第03期 一、引言 互联网金融是互联网行业一个重要的分支，但互联网金融不是互联网和金融业的简单结合，而是在实现安全、移动等网络技术水平上，被用户熟悉接受后，适应新的需求而产生的新模式及新业务，目前除了常见的网上银行、第三方支付，这两年很多的民间融资贷款平台也逐步兴起，像P2P网贷、众筹等。越直接涉及到金钱的业务就越敏感，这是众所周知的，平台的运作除了建立在强大的资金链之外，平台自身的公信力也是很关键的，在一些金融平台陆陆续续出现过安全问题后，越来越多的此类平台也逐步意識到安全的重要性。我们曾经受邀请检测过一些互联网金融交易平台，在检测的过程中发现部分平台存在着严重的安全问题，在本文中我们将针对所发现过的一些常见的安全问题进行总结，同时提出相应的解决办法，希望对开发人员的代码安全能力有所提高。 二、安全漏洞剖析 我们对曾测试的多家金融交易平台进行过一次漏洞统计，除了常见的一些如注入、跨站、CSRF、恶意上传等Web漏洞外，部分金融平台在业务功能上存在着严重的风险，如任意用户密码重置、交易参数恶意篡改等，与常见的注入、恶意上传不同，这些业务逻辑的漏洞不会直接影响服务器的安全，但却会直接影响用户的资金、账号的安全，其风险程度有过之而无不及，若被攻击者所利用或被曝光，将严重影响平台公信力。在对常见的漏洞进行统计后发现，越权操作的占比最高，在我们所测试过的平台中基本都有发现，包括任意查询用户信息、任意删除等行为；最严重的漏洞出现在账号安全，包括重置任意用户密码、验证码暴力破解等。下面将以举例的方式介绍一些常见的安全问题以及其解决方法。 1.越权操作。漏洞描述。平行权限越权操作其实是一种较为常见的安全漏洞，在OWASPTop10中也有所提及，分别为不安全对象引用和功能级别访问控制缺失。在金融交易平台中，该类型的安全漏洞主要出现在账号余额查询，账号个人资料篡改等功能上。其中不安全对象引用指的是平行权限的访问控制缺失，比方说，A和B两个同为一个网站的普通用户，他们之间的个人资料是相互保密的，A用户的个人资料可以被B用户利用程序访问控制的缺失恶意查看，由于A用户和B用户之间是一个同级的账号，因此称为平行权限的访问控制缺失。功能级别访问控制缺失指的是垂直权限的访问控制缺失，比方说，A账号为普通账号、B账号为管理员账号，B账号在管理页面时必须是以管理员权限登录后方可查看，但A账号可通过直接输入管理页面URL的方式绕过管理员登录限制查看管理页面，由于A用户和B用户的权限是垂直关系，因此称为垂直权限的访问控制缺失。该类型属于业务设计缺陷的安全问题， 本文来源：https://www.wddqw.com/doc/644fcd45df88d0d233d4b14e852458fb760b3827.html