走进科学:银行ATM机真的安全吗?

0

092S94U7

0×01 引子

好吧,想在银行边进行渗透测试,边拍照的,但是人太多……我也就在我这成功了2次。
声明,我只是友情测试,未作任何破坏。另外,我把自己的针对银行做的渗透测试思路拿出来,旨在给银行的安全建设提供一点建议(0×07节会有总结)。小弟不才,有什么不对的,还望指正出来。

0×02 先谈谈银行的ATM机吧

中国的ATM机很安全,反正我是没什么办法搞定了,如果你在国外可以试试我这几种方法。

有些ATM机上有一个钥匙孔,不知道大家发现了没有。

untitledgfdsfds

当然了,你也不能指望所有的ATM都有钥匙孔,有的ATM机上有,有的没有。

这时,你需要一根小银条,把锁撬开(需要深厚的功底)。

打开后,你将会看到ATM机的构造,这时你将会发现USB插口和N个不同的插口,把你准备好的U盘插入进去吧,这时我推荐你在国外的网站上买大黄鸭“U盘”,大家可以去网上购买,只要39.99美元。你可以把实现准备好的脚本写到这个“U盘”里,他会自动执行,准确来说,他不是个U盘,他是一个可编程芯片,可以让电脑以为是键盘设备,也可以让电脑以为是其他的设备,只要预先写好脚本代码,插入,拔出,ATM就被感染上木马端(代码你需要写成远程下载某个木马端,ATM在联网的情况下),什么网上的autorun.inf自动运行,全弱爆了,和它比,连浮云都不算,就是个渣。搞定后,把ATM机安好,回到家等着high把。(其实也可以不用U盘,可以用外部键盘,或者手机)

在网上听说把一百元存进ATM机的时候,用双面胶把四个边粘好,然后反复存钱,反复取钱,就会变多,我也不知道行不行,不敢试,哪位大哥试了后,别忘和我说一声行不行。

0×03 ATM完了,还有什么和银行有关的呢?答:银行里面的服务终端机

这个是最简单,也是我最爱玩的一个了。在终端机上,大多都是有键盘的,或者是触屏的,当然键盘的少见,触屏的几乎每个都是,这样一来就好玩了。其实银行终端机的页面就是浏览器封装的(也可以叫沙盒),把浏览器最大化 置前,就完事了。当然,银行终端机上很少出现能让你自己输入URL的,如果可以输入URL,就会出现网上的“几个小学生在路边的公交终端上玩起了疯狂的小鸟…”对于这种事,我只能说,我大华名族帝国以后何谈不旺啊!(扯淡完毕)

这时,你所看到的页面就是:

dsfsfs

这样的。我们的目的很简单,就是在终端机上运行木马程序,这时我们该怎么做呢?

答:先进入桌面在说。那我们怎么样才可以进入桌面呢,我提供几个方法:

长按不动、多点触控、频繁点击、寻找下载、寻找邮箱、漏洞利用、其他

1)长按不动:

 长按不要动,按住页面的某个位置,停留几秒。让ATM机出现鼠标右键的情况,就像这样。

dsfsfsgg

然后点击“页面另存为

xvgsdgsad

打开“资源管理器”,然后到C:\Windows\System32\里打开osk.exe文件,启动屏幕键盘。

剩下就是打开cmd,连接FTP,下载木马端了。然后回家搞内网渗透把,反正我玩的时候,终端机就是连接银行内网的。

按住也有技巧的,在自助营业终端ATM机页面,静止5秒钟,出现右键选择菜单栏,通过打印机设置,从而进入ATM内部,查看和调用内部程序,然后进system32里打开osk.exe(屏幕键盘),再打开FTP,远程下载木马。

这里有个技巧,长按不松的时候,最好是图片或者flash。你别按着“按钮”不松了….

2)多点触控、频繁点击:

因为某些浏览器对触屏的反应没有认真考虑到、或则计算机对多点触控、频繁点击没有足够的内存来反应了,导致我们频繁点击和多点触控,或则两个一起执行的时候,浏览器沙盒意外崩溃,当出现崩溃的时候。系统会退到桌面(当你运气不好的时候,他会重启…),然后你的任务就是找C:/WINDOWN/system32/osk.exe屏幕键盘,找到后,在同目录下找cmd.exe文件。打开后,你先输入ipconfig或则ifconfig(win系统下是ipconfig,linux系统下是ifconfig)看有没有联网,在不在局域网内。然后开FTP,远程下载你事先准备好的木马文件,传输完毕后,打开木马服务端,恢复原样,就可以了。但是你如果发现没有联网的话,那你只能放弃了,除非你可以在里面编写脚本,来获取计算机的反应,过几天再去时,什么都有了(身份证什么的),但是需要的时间,这个方法成功率很低,为什么呢?因为前台不可能让你一直在终端机上玩,再说你要写代码什么,也没有编译器,我这里只是给出一种思路。

在某些终端机/ATM(可以触屏的终端)上三点等于右键,就会出现鼠标右键的反应了,然后找到“页面另存为”(如果没找打,就找“打印”),再然后打开“资源管理器”。然后和上面一样来搞定。

如果,你想做绝,直接在cmd下运行shutdown –s –t 3倒计时3秒关机,当然,做完 你也差不多在警察局陪警察叔叔聊聊家常了

3)寻找下载:

在页面内,随便点击连接,找到下载项,就像这样

dvfdsafsag

点击保存:

xvgsdgsad

资源管理器,进system32里打开osk.exe,再打开FTP,远程下载木马。

4)寻找邮箱:

找到邮箱

在网站里,我们经常遇到邮箱什么的,这时,我们需要的就是点击那个邮箱地址。当你点击邮箱地址的时候,系统会打开outlook,打开outlook后在帮助菜单进行Windowsupdate,ie成功弹出来了,在“文件”里找到“另存为”,就可以实现我之前说的了(也可以直接在IE的地址栏中输入你远程的木马URL地址,让IE下载等等)。各种搞吧:)

运行cmd的图片,我们实现的目标就是这个。

5)漏洞利用:这个方法,我没见网上谁有说,我是自己想出来的(如果网上有,算我抄你的),当页面存在xss漏洞的时候,你插入<meta http-equiv=”refresh” content=”5; url=http://www.***.com” />5秒后,会跳转到你想要的页面,这个页面可以是木马下载网页,随便你,当然这个的前提就是有外部键盘。

你也可以在输入代码,让浏览器打开文件框进行了一下在本地新建一个东西的指令,然后跳出沙箱,就会出现系统界面,像下面这样(你都可以让浏览器运行自己代码了,还有什么不可能呢:) )

6)其他:如果你胆子大,你会发现终端机有钥匙孔,和ATM机一样,找USB插口,然后连接外部键盘、大黄鸭U盘、手机啊,什么的。然后你懂得。当然,不推荐这个,为什么呢?风险太大了,而且有一定几率不成功。

0×04 ATM讲完了、终端机讲完了、还有什么呢?答:wifi

首先在手机里安装BT5,或者带个笔记本(不推荐,容易被怀疑),然后破解wifi,当然如果银行给出了wifi密码,则省去这一步。然后用img标签破解密码(手机连上wifi后,在手机里事先准备一个html文件,在里面用img标签破解(<img scr=adminuser:adminpassword@192.168.0.1/logo.png>)然后用dSploit软件,进行嗅探密码,最好是修改DNS到自己的网站上,首先你自己做个钓鱼页面,说必须输入您的银行账号、身份证账号、手机号码、**密码什么的,随便你了,才可以使用wifi。记住!无论对方输入的对还是错,第一次输入必须显示,您输入的有错,这样一来,会给对方一种心理,他说的是真的,看来他们会把我的信息核对,不然他怎么知道我输入错了呢。这是一种心理手法,但很好用(亲试很不错)。

0×05 好像没什么可说的了,就这样结束了么!?答:错,还有一种社工

事先买个U盘,也可以是大黄鸭U盘,然后里面放入木马。跑到银行里,问客服,厕所在哪里,非常的急!你要不说非常,客服很少会告诉你,因为那是他们专用的。跑到里面把U盘扔到地上,然后,回家等着把,大多数人看到U盘后,都会把U盘插到电脑里,看有什么(好奇心,害死猫啊)

然后,你就在家喝着咖啡,躺在沙发上,玩他们的内网吧。

0×06 实例:

昨天我网上的基友来了,我和他说今天去银行干点好玩的,他说好,一天后,我俩2.30去了银行,那时人多,前台不会注意我们这边,然后我和他说,你去找前台扯犊子,能扯什么就扯什么,一开始他还不愿意,在我的KFC诱导下,他终于屈服了……

然后他帮我打掩护,我来搞。

教程:

一:

http://v.youku.com/v_show/id_XNzQ1MDI3NDk2.html

因为我事先试了长按不动、多点触控、频繁点击、寻找下载、寻找邮箱、漏洞利用。先但是都没有成功,在我快要放弃的时候,我发现有个“退到桌面”我点击,有个密码验证,我把123、123456789、000000、555555、123456

后来发现123456成功(期间,有点紧张,所以多次按到“退出”),然后进入桌面。由于我看到保安往我这边来了,就结束第一段录像。

二:

http://v.youku.com/v_show/id_XNzQ1MDI4Mjky.html

后来,我就想在搞一次,让我基友在旁边拿着手机录像,来人和我说。我进入system32目录,想打开osk屏幕键盘功能,然后用cmd看看这个xp终端机的状况,但是….听到我基友那销魂的声音“速度点,快快快,走走走”…只能放弃了,详细你可以听第二段录音最后面。

0×07 对银行ATM机的安全加固建议

1、 ATM钥匙孔,最好用超B级锁,防止撬开。
2、 ATM内部插入未认证USB的时候自动报警,当然,现在应该也有这种机制了。
3、 终端机的安全很重要,最好不要联网,在本地搭建一个网站。
4、 对终端机的触控做严格的机制过滤
5、 机器密码用高强度的,防止内网渗透
6、 不要轻易拾取U盘
7、 对银行的电脑做出严格的权限认证。
8、 密码不要是弱口令。

Focus On The Network Information Security.

作者主页 邮箱 微博 腾讯微博 QQ Twitter Facebook Google+

发表评论

您的邮箱不会公开,当您的评论有新的回复时,会通过您填写的邮箱向您发送评论内容。 必填字段 *

返回顶部