前言：本文還是去年年初寫的，當(dāng)時(shí)出于安全考慮沒放出來。現(xiàn)在部分網(wǎng)上銀行已大幅度降低了無高級(jí)別安全措施情況下的轉(zhuǎn)賬限額，并建議用戶使用動(dòng)態(tài)口令卡或者USB Key，總體安全系數(shù)有所提高。
隨著子商務(wù)的普及，網(wǎng)上銀行以及在線電子支付等方式逐漸被網(wǎng)民所接受和喜愛。但是網(wǎng)上銀行以及電子商務(wù)支付平臺(tái)的安全性不容樂觀。盡管各網(wǎng)上銀行采取SSL加密防止通過嗅探網(wǎng)絡(luò)封包的方式截取密碼；對(duì)于防止WEB登陸時(shí)密碼被竊取，網(wǎng)上銀行采取了安全控件或者動(dòng)態(tài)軟鍵盤的方法，但考慮的仍不全面，我們還是能采取相應(yīng)的方法截獲用戶輸入的密碼。
下面就以具有代表性的四大銀行：中國(guó)工商銀行、中國(guó)農(nóng)業(yè)銀行、中國(guó)建設(shè)銀行、中國(guó)銀行；商業(yè)銀行：招商銀行；電子支付平臺(tái)：阿里巴巴支付寶等為例，分別就客戶端密碼方面進(jìn)行脆弱性分析。網(wǎng)上銀行以及其他電子商務(wù)支付平臺(tái)的WEB登陸安全性直接與用戶的經(jīng)濟(jì)利益相關(guān)，所以有必要不遺余力的加強(qiáng)WEB登陸安全性的建設(shè)。另外由于不是所有的用戶都使用數(shù)字證書和U盾之類安全認(rèn)證產(chǎn)品，所以“黑客”只要截取到用戶的登陸密碼以及支付密碼就能隨心所欲的轉(zhuǎn)帳/支付，危害甚大。本文談的是采用純技術(shù)截取密碼，而不是用假頁面假接口等釣魚方式騙取密碼的方法。
網(wǎng)上銀行對(duì)于防止密碼被盜分別采用了安全控件和動(dòng)態(tài)軟鍵盤的方法：
1、采取安全控件的，典型代表有：中國(guó)工商銀行、招商銀行、阿里巴巴支付寶等
這類安全控件考慮還算全面，防止了鍵盤/消息鉤子，而且使通過IE的COM接口獲取密碼的方法也無能為力。但是這類安全控件做得不夠底層，考慮得欠深入。
我們采用鍵盤過濾驅(qū)動(dòng)的方法就可以突破安全控件的保護(hù)記錄密碼了。除了鍵盤過濾驅(qū)動(dòng)方法外還可以掛接IDT（中斷描述符表）的鍵盤入口，或者掛鉤鍵盤驅(qū)動(dòng)Dispatch例程以及Inline hook相應(yīng)IRP分發(fā)函數(shù)。 當(dāng)然，更深入點(diǎn)的話還可以掛鉤i8042prt.sys。
不過由于編寫驅(qū)動(dòng)程序不同與開發(fā)普通的應(yīng)用程序，難度稍大，所以目前還未見公開的采用此技術(shù)截取這些網(wǎng)上銀行密碼的木馬。但是開發(fā)起來也并不是太困難，相對(duì)而言采取鍵盤過濾驅(qū)動(dòng)的方法較通用穩(wěn)定。
基本原理是我們的驅(qū)動(dòng)創(chuàng)建一個(gè)設(shè)備附加到鍵盤驅(qū)動(dòng)Kbdclass下的設(shè)備，這樣所有的IRP（輸入輸出請(qǐng)求包）包都將先發(fā)給我們的驅(qū)動(dòng)程序，然后再轉(zhuǎn)發(fā)給系統(tǒng)中的鍵盤驅(qū)動(dòng)，我們的驅(qū)動(dòng)程序獲取IRP后就可以從中獲得鍵盤的scancode掃描碼，這樣就能在系統(tǒng)內(nèi)核的層面獲得鍵盤輸入信息。鍵盤過濾驅(qū)動(dòng)的部分代碼如下：
NTSTATUS HookKeyboard(IN PDRIVER_OBJECT pDriverObject)
{
PDEVICE_OBJECT pKeyboardDeviceObject;
NTSTATUS status = IoCreateDevice(pDriverObject,sizeof(DEVICE_EXTENSION), NULL, FILE_DEVICE_KEYBOARD, 0, true, &pKeyboardDeviceObject);
pKeyboardDeviceObject->Flags = pKeyboardDeviceObject->Flags | (DO_BUFFERED_IO | DO_POWER_PAGABLE);
pKeyboardDeviceObject->Flags=pKeyboardDeviceObject->Flags& ~DO_DEVICE_INITIALIZING;
RtlZeroMemory(pKeyboardDeviceObject->DeviceExtension, sizeof(DEVICE_EXTENSION));
PDEVICE_EXTENSION pKeyboardDeviceExtension=(PDEVICE_EXTENSION)pKeyboardDeviceObject->DeviceExtension;
CCHAR ntNameBuffer[64] = "\\Device\\KeyboardClass0";
STRING ntNameString;
UNICODE_STRING uKeyboardDeviceName;
RtlInitAnsiString( &ntNameString, ntNameBuffer );
RtlAnsiStringToUnicodeString( &uKeyboardDeviceName, &ntNameString, TRUE );
IoAttachDevice(pKeyboardDeviceObject,&uKeyboardDeviceName,&pKeyboardDeviceExtension->pKeyboardDevice);
RtlFreeUnicodeString(&uKeyboardDeviceName);
return STATUS_SUCCESS;
}
下面以工商銀行的網(wǎng)上銀行為例，演示我們的程序。為了演示，我們的驅(qū)動(dòng)程序?qū)?shí)時(shí)打印出獲得的鍵盤記錄的信息，并且把完整的信息記錄到磁盤文件上。招商銀行、阿里巴巴支付寶等效果等同，支付密碼用此法同樣能截取。截取時(shí)實(shí)時(shí)打印的信息 如圖1：
記錄到文件里的完整信息：如圖2。
配合發(fā)送郵件或者ASP/PHP留言的方式我們就能遠(yuǎn)程的得到密碼。
2、采取動(dòng)態(tài)軟鍵盤的，典型代表有：中國(guó)建設(shè)銀行、中國(guó)銀行、中國(guó)農(nóng)業(yè)銀行
采用動(dòng)態(tài)軟鍵盤技術(shù)初看確實(shí)能使攻擊者無法截獲密碼，但是截取密碼的方法不僅僅是接截獲鍵盤記錄一種方法。我們可以通過IE的COM獲取的密碼。
對(duì)于中國(guó)建設(shè)銀行，通過IE的COM接口獲取的密碼框里的內(nèi)容就是密碼，其他大部分采用軟鍵盤技術(shù)的網(wǎng)站大都也是這樣。但是中國(guó)農(nóng)業(yè)銀行WEB程序中做了一點(diǎn)處理，通過鼠標(biāo)點(diǎn)擊軟鍵盤傳入密框的內(nèi)容不是實(shí)際密碼而是按鈕序號(hào)，所以我們只要枚舉當(dāng)前窗口，發(fā)現(xiàn)是中國(guó)農(nóng)業(yè)銀行的網(wǎng)上銀行頁面時(shí)，我們的程序就自動(dòng)截圖發(fā)給我們，我們根據(jù)所截獲得的圖象和通過IE的 COM接口所獲得的序號(hào)偽密碼之間的關(guān)系進(jìn)行轉(zhuǎn)換（抽象為一個(gè)簡(jiǎn)單的函數(shù)映射），很容易的。這樣便獲得了農(nóng)行網(wǎng)上銀行的密碼。下面是截取中國(guó)建設(shè)銀行網(wǎng)上銀行密碼的演示截圖，利用動(dòng)態(tài)軟鍵盤的其他網(wǎng)站效果相同。如圖3：（衍生：對(duì)付應(yīng)用程序的部分軟鍵盤可以運(yùn)用Hook TextOutW/A的類似屏幕取詞的方法來截取。）
后記：
盡管網(wǎng)上銀行等電子支付平臺(tái)在密碼防盜方面做了安全考慮，但是還是不夠安全。不過大家也大可不必因此不使用網(wǎng)上銀行，采取數(shù)字證書以及USB Key（比如U盾)等安全措施相對(duì)而言還是比較安全的。
