P2P平台安全漏洞迭出：攻击从未停止

攻击从未停止乌云网报告公布平台名称，专家解读密码危险之链

导读

根据乌云漏洞收集平台的数据显示，2014年以来，平台收到的有关P2P行业漏洞总数为402个，2015年上半年235个，仅今年上半年就比去年一年增长了40.7%。

在上述漏洞中，可能影响到资金安全的漏洞数量占总数的46.2%。其中2015年上半年，这个比例依然维持在44.3%，并未减少。

本报记者吴燕雨北京报道

9月16日，国内知名互联网漏洞平台乌云网发布了一份P2P平台漏洞的报告。涉及搜易贷、和信贷、翼龙贷、有利网等多家P2P信贷平台，称其存在安全漏洞。

报告内容显示，国内多家P2P平台均存在安全漏洞，这些漏洞有的可能直接影响到用户的资金安全。面对这些漏洞，有的平台选择回应并修复，有的平台则选择不予理睬。

漏洞日趋严峻

根据乌云漏洞收集平台的数据显示，截至2015年7月底，2014年以来平台收到的有关P2P行业漏洞总数为402个，仅今年上半年就比去年一年增长了40.7%。其中，高危漏洞占56.2%，中危漏洞占23.4%，低危漏洞占12.3%，8.1%被厂商忽略。

乌云网曾曝光12306用户泄露、携程网信息泄露、天河一号等多个知名安全漏洞。在乌云漏洞平台中，P2P平台最常见的类型包括支付漏洞、密码重置、访问控制等。其中，密码重置占60%。

“从P2P行业的起始，就伴随着各种各样的安全问题。如今P2P行业增势火爆，其中对待安全漏洞的态度则更是参差不齐，随着基数的扩大，安全问题看起来并没有得到改善，反而越来越严重。”乌云联合创始人FengGou告诉21世纪经济报道。

金山首席安全专家李铁军告诉21世纪经济报道，一部分P2P平台是基于共同的模板搭建的，当安全存在漏洞时，同类的网站会被批量入侵。

8月8日，国内主流借贷系统贷齐乐被发现多处SQL(利用现有应用程序，将恶意的SQL命令注入到后台数据库引擎执行的能力，得到数据库)注入可影响大量P2P网贷站点，两天后，乌云平台上又爆出贷齐乐出现某处设计缺陷导致大面积注入以及几处高权限SQL注入。而借贷系统一旦出现安全问题，将影响多个P2P平台。

根据世界反黑客组织的最新通报，中国P2P平台已经成为全世界黑客宰割的羔羊，已有多起黑客盗取P2P平台现金的案例发生。如2014年1月29日，谭登元因侵入他人计算机系统，骗取多家P2P平台现金，被判处有期徒刑五年，其涉案金额达157万。

危险密码解读

由于逻辑错误或设计缺陷导致的漏洞在乌云漏洞平台中占据较大比例。攻击者利用自己密码重置获得的验证码就可以重置其他用户的密码。

乌云网白帽子303告诉21世纪经济报道，这种漏洞是由于网站没有做到一个cookie(在浏览器的验证机制里用于验证用户身份)对应一个用户，没有将cookie与用户进行绑定，于是当两个账号同时操作的时候，网站就容易将两个网络身份搞混。

这种情况不仅存在于搜易贷，在乌云漏洞平台中，金海贷、和信贷、拍拍贷等多家P2P平台均存在上述问题。

对此，乌云漏洞平台建议，网站开发人员在开发的过程中要注意，应该怎样保证cookie等可以重置密码的凭证与用户之间的对应关系。“如果网站对cookie和用户进行一对一的绑定，这个问题可以轻易被避免。”白帽子303说。

和信贷于今年5月被乌云曝光，由于可以绕过一些关键步骤，而导致任意用户密码可被重置。正常的密码重置流程应该分为“输入图形验证码、发送短信验证码、输入验证码、重置”四步，而在和信贷的流程中，第三步关键的验证过程直接被绕过，攻击者不需通过验证即可重置用户密码。白帽子303介绍，在这个漏洞中，短信验证码没有起到验证作用。

乌云网介绍，一般的密码重置分为输入用户名、验证身份、重置密码、完成四步。重置密码的漏洞分为爆破、秒改、需要与人交互三种类型。

如2013年4月，有利网被曝光由于某个参数设置的过于简单，且发送请求时无次数限制，可以通过爆破重置任意用户密码。

对于这种密码重置系列漏洞，李铁军表示，这属于高危漏洞，由于攻击者可以得到其他理财用户的密码。如果平台的资金不是原路返回，攻击者就有机会拿走资金，并提现到其他银行账户。

FengGou表示，大部分漏洞是由于缺乏安全意识与可靠的安全执行力，存在共性，这些问题都是可以避免的。

攻击从未停止

乌云报告显示，截至2014年底，已有近165家P2P平台由于黑客攻击造成系统瘫痪，恶意篡改，资金被洗劫一空等，每天都有平台因为黑客攻击而面临倒闭。

虽然P2P金融行业面临的安全问题一点点变得严峻，但安全问题并没有在这个行业被彻底重视起来。从乌云漏洞平台可看到，部分实际控制人对于漏洞并没有表现出重视程度。

5月31日，乌云公开安心贷重要功能设计缺陷漏洞，该漏洞可以通过修改请求包中有关手机号码的参数，使自己手机接收到任意用户重置面所需的验证码达到重置用户密码的目的，可能影响到网站的所有用户，但该漏洞被厂商选择忽略。

6月5日，乌云爆出8080信贷新版某业务出现一大波高危漏洞，包括getshell(取得权限)漫游内网、SQL注入等问题，但该漏洞也依然被厂商选择忽略。

目前对于漏洞的态度比较积极，但仍有比较传统的企业思维希望以掩盖安全事件为主，FengGou表示希望企业自身能够对用户信息以及资金安全负责，而且必须有第三方的可靠监管机构进行监督。

如何防止这种情况再次发生？李铁军告诉记者，这首先需要用户和平台双重重视。用户需要充分了解平台，及平台信息泄露后可能导致的风险，平台则需要和专业的安全公司合作解决信息泄露的风险。