2023电子支付漏洞报告-天融信_50页_4mb

报告摘要

电子支付漏洞分析报告总结

电子支付漏洞指在支付过程中攻击者通过技术手段获取用户支付信息或非法转移资金的风险。报告围绕电子支付现状、原理、攻击方式及防范措施展开，重点分析了支付环节中存在的安全隐患。

电子支付现状
电子支付分为线上（如支付宝、微信支付）和线下（如POS机、扫码支付）两种场景，其安全性依赖于现代密码学技术（如PKI认证）和安全通信协议（如TLS）。中国人民银行定义其为“通过电子终端发出支付指令实现资金转移的行为”，涵盖线上转账、实体商户支付等。当前，第三方支付因移动支付发展迅速成为主流，但未涉及加密货币等新型方式。

漏洞统计与类型
根据CNVD数据，2019年前支付相关漏洞增长较快，后期因头部厂商完善风控、企业加大治理投入及攻击者保密漏洞等原因减少。漏洞类型可分为物理攻击、网络攻击和社会工程学攻击三大类。

攻击方式与案例

卡复制：攻击者通过读写设备复制空白卡数据，利用未加密的RFID卡（如门禁卡、公交卡）实现非法支付。例如，NFC模拟器可复制门禁卡并用于解锁。
卡数据破解与篡改：IC卡因密码未加密或默认密码易破解（如ffffffffffff等）导致数据泄露。攻击者通过抓包工具（如PM3）嗅探数据，利用XOR校验计算密钥，修改卡内金额或校验码。
网络欺骗攻击：包括仿冒网站钓鱼（伪造中奖、劳动补贴通知等页面诱骗用户输入信息）和电信诈骗（冒充公检法、商家等身份实施远程欺诈）。
线下欺骗攻击：伪造二维码或纸质优惠券，替换商户收款码或诱导使用虚假优惠券以减少支付金额。
支付身份伪造：通过账户或生物识别（如人脸识别、指纹）漏洞伪造身份。例如，快递柜刷脸取件漏洞允许使用他人照片完成操作。
支付逻辑绕过：因代码设计缺陷导致优惠券重复使用或订单生成异常。例如，未校验优惠券数量导致同一用户多次享受优惠。
数据不同步漏洞：支付系统因并发操作未及时更新订单状态或数据库信息，引发多平台数据不一致。某快餐平台因APP与微信客户端数据不同步，导致攻击者通过骗取兑换券或取餐码获利。
支付数据篡改：攻击者修改订单数据包中的金额、数量、商品ID等信息，如利用整数溢出漏洞将支付金额设为负数实现账户余额增加。
条件竞争漏洞：用户并发请求导致支付漏洞，如同一用户使用多设备生成订单后绕过单次优惠限制。
拒绝服务攻击：通过恶意行为（如频繁输入错误验证码）锁定用户账户或使系统无法访问，影响支付流程。