支付SDK的安全问题——隐式意图可导致钓鱼攻击

　　 该漏洞涉及到app所使用的intent和intent filter。

       intent是一个可用于从一个app组件请求动作或处理事件的“消息对象”。Intent负责对应用中一次操作的动作、动作涉及数据、附加数据进行描述，Android则根据此Intent的描述，负责找到对应的组件，将 Intent传递给调用的组件，并完成组件的调用。

       intent主要包括隐式意图和显式意图。调用Intent.setComponent()或Intent.setClass()方法明确指定了组件名的Intent为显式意图，显式意图明确指定了Intent应该传递给哪个组件。没有明确指定组件名的Intent为隐式意图。Android系统会根据隐式意图中intent-filter设置的动作(action)、类别(category)、数据（URI和数据类型）找到最合适的组件来处理这个意图。 

       移动应用app和支付客户端app之间的通信存在一个漏洞：移动应用app使用隐式意图，可以被恶意应用通过一个高优先级的intent-filter拦截。Google IAP 2和3版本以及支付宝SDK 1.0版都存在该漏洞。

Google Wallet SDK的漏洞

       使用Google Wallet SDK进行交易，app必须与设备上的Google Play app进行通信，以便Google Play把交易情况反馈给用户同时要求用户进行确认。

 

确认信息

       然而， IAP SDK使用了隐式意图ACTION=”com.android.vending.billing.MarketBillingService.BIND”，可以被意图过滤器（intent-filter）action android:name=”com.android.vending.billing.MarketBillingService.BIND.”拦截，这样，一个恶意app就可以使用同样的intent-filter拦截该意图然后启动钓鱼界面，如下图所示：

 

钓鱼页面示例

支付宝sdk钓鱼

       支付宝sdk与Google Wallet的支付过程相似。当用户点击“支付”按钮后，app就会与支付宝sdk进行通信以便支付宝sdk通知用户确认支付。同样，恶意app可以使用action android:name=”com.alipay.android.app.IAlixPay.”的intent-filter来拦截通信，然后向用户发送伪造消息。

 

伪造支付宝消息

       第三方app为了完成支付，需要借助Google Wallet SDK或支付宝SDK，这些SDK的目的是发送支付intent到Google Wallet或支付宝。在这个过程中，恶意APP可以取代真正的Google Wallet或支付宝接收支付intent。用户通过第三方应用程序进行支付的时候，他们希望看到真正的Google Wallet或支付宝登录界面。然而在这个时候网络钓鱼APP就像真正的Google Wallet或支付宝一样出现在用户眼前，用户很可能不会产生怀疑从而输入他的密码和银行账号信息。

       前面的例子表明了网络钓鱼攻击的可能性。然而，钓鱼攻击可能只是一个开始。一旦网络罪犯能够访问用户帐户，他们就可以继续窃取用户帐户上存储的其它信息，包括信用卡和其他支付信息。然后，他们可以自己使用或者在地下黑市贩卖这些信息。

       此外，用户可能不会对这些恶意信息产生怀疑。由于APP需要处理支付，他们可能会认为这些消息只是在实际支付前简单的对账号进行确认。

修复建议

       开发人员应该使用显示意图来处理敏感信息，这样，只有指定的app组件才能够接收和处理这些信息。但这是不够的，在与其它app通信之前，开发者应该检测其它app的签名以证明其调用来源的合法性。

参考链接：

http://blog.trendmicro.com/trendlabs-security-intelligence/vulnerability-in-in-app-payment-sdks-may-lead-to-phishing/