三大银行网页存在漏洞 用户账号可轻易骗取

最新推荐文章于 2025-07-25 09:25:36 发布
最新推荐文章于 2025-07-25 09:25:36 发布
阅读量726 收藏
点赞数
文章标签： 农业 网络 电子商务 工作 咨询 活动
软件开发者发现民生银行、农业银行和建设银行网站存在漏洞，可能导致用户账号被盗。通过修改网页链接，黑客可轻易获取用户敏感信息。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

央视国际 www.cctv.com　　2007年02月17日 09:10 来源：
 
 

　　圈中为银行网页上的假广告。一旦点开三个圈中的网页，用户机密信息将被外泄。陈新颖/制图

　　网民发现可轻易骗取用户账号

　　从事软件开发工作的郭先生打来热线反映，民生银行 ( 行情 论坛 )、农业银行、建设银行的网站，都可能存在网络漏洞，由此可能引发恶意攻击、篡改等行为。昨日，郭先生向记者演示了他发现的漏洞，并向相关银行进行反映，相关银行已对漏洞进行了修补。

　　IT人士：银行网络存在漏洞

　　郭先生前两天在测试一个网页程序时偶然发现民生银行的主页链接可以进行修改，随后他发现这种情况在农业银行、建设银行等大银行的网页上也同样存在。

　　“这种攻击方式比较简单，对计算机程序有一定了解的人都可以做出来。”郭先生拿农业银行的网页举例，现场为记者简单演示了攻击的方法。通过输入一些字符，网页中“Welcome Share your money to me”的广告迅速被链接到了另外的地址。“如果我自己再做一个网站，如此修改后转接到上面，就可以神不知鬼不觉地获取到用户的账号和密码。这对普通网站并不构成太大威胁，但对于涉及用户存款的网络银行就是一个致命问题。”

　　据郭先生介绍，窃取资料者只要制作一个自己的网站，一旦用户点击了假冒链接地址，将进入到被修改后的网页，如果此时输入银行账号、密码、验证码后，系统将提示验证码错误，随后转向正常的网页，黑客就巧妙地从中获取了用户的机密信息。

　　银行：下大力防止网络攻击

　　记者将这一情况向民生银行、农业银行和建设银行进行反映。民生银行、农业银行与建设银行均表示将通知技术部门检查网络，若漏洞的确存在会立即修补。昨天下午，经郭先生证实，民生银行已经将漏洞修补完毕。农业银行同时提醒，客户应保管好自己的信息，登录正确网站。记者采访了某银行技术部门的工作人员张先生，他推测网络攻击多发于办理简单保密性较差的大众版个人网上银行业务。

　　实习记者 王峥 线索：郭先生

　　专家支招

　　个人如何防范受损

　　针对日益猖獗的网络银行犯罪，国家计算机网络应急技术处理协调中心提示：对普通大众版个人银行业务用户来说，在对特殊网站如网上银行、电子商务网站的访问上要尤其注意。先确认网址是否完全正确。不要点击可疑网站和来路不明电子邮件中的链接地址，尽量通过地址栏直接输入进行访问，其次要注意某些极有诱惑力的文字或广告，在源代码中的链接地址是不是设有陷阱等。另外除了正常登录进行交易，银行一般不会以广告、促销活动等理由向客户索要账号及提款密码一类的重要信息。如果平时使用时遇到这种情况，应先拨打该银行的服务热线进行核对咨询。

　　来源: 北京晨报(北京)　

 
linkboy2004
关注
DeepSeek 终章：破局之路，未来已来
邓邓子的博客
06-08 1787
本文作为 “DeepSeek 专栏” 终结篇，深度剖析 DeepSeek 未来发展趋势与技术挑战。在回顾其在模型架构、训练效率等领域取得的卓越成果后，指出多模态融合拓展、模型可解释性强化、垂直领域深化应用将成为未来发展方向。同时，数据隐私与安全、算法偏见、网络攻击等技术挑战也亟待解决。文章进一步探讨了技术、算法、安全防护等层面的应对策略，为 DeepSeek 在人工智能领域持续创新与突破提供思路与展望。
安全见闻笔记
weixin_74811095的博客
10-27 1456
本文全面探讨了网络安全的多个关键领域，包括渗透测试概念与实践、编程语言的选择、软件程序的安全性、网络基础、通讯协议的安全问题、硬件设备的网络安全、人工智能在网络安全中的应用、量子计算对网络安全的影响、二进制与网络安全的关系，以及网络安全热门证书的介绍和备考指南。文章强调了在不断演变的网络威胁面前，持续学习、实践和适应的重要性，以及通过专业认证提升个人技能的必要性。同时，文章也提醒读者在追求技术进步的同时，应保持谦逊和对知识无限性的认识，以促进个人成长和知识边界的扩展。
国内三大银行网页出漏洞 可轻易骗取用户账号
cixun1782的博客
02-18 262
国内三大银行网页出漏洞 可轻易骗取用户账号[@more@]网民发现可轻易骗取用户账号从事软件开发工作的郭先生打来热线反映，民生银行、农业银行、建设银行的网站，都可能存在网络漏洞，由此可能引发恶意攻击、篡改等行为。昨日，郭先生向记...
从工行漏洞看国内银行金融网站
zhblue的专栏
01-02 1840
工行最近居然也被xx了http://blog.youkuaiyun.com/hcat1999/archive/2006/12/31/1470770.aspx 虽然我也是工行用户，不过还是不担心，也许是侥幸心理，不会轮到我，更可能的原因是卡里没米。虽然这个事情我不太在意，但是有件事情我就十分在意了，那就是国内各大银行的网上银行无一例外的采用ActiveX控件的方式来进行密码验证，直接的副作用就是我用火狐就别想上
三大银行网页存在漏洞用户账号轻易骗取
weixin_34194551的博客
03-03 123
从事软件开发工作的郭先生打来热线反映,民生银行、农业银行、建设银行的网站,都可能存在网络漏洞,由此可能引发恶意***、篡改等行为.昨日,郭先生向记者演示了他发现的漏洞,并向相关银行进行反映,相关银行已对漏洞进行了修补.　　网民发现可轻易骗取用户账号 　　从事软件开发工作的郭先生打来热线反映，民生银行、农业银行、建设银行的网站，都可能存在网络漏洞，由此可能引发恶意***、篡改等...
【Web安全】逻辑漏洞之URL跳转漏洞：原理、场景与防御
最新发布
聚焦实战技术的 “白话解读” 和入门级操作指南。
07-25 495
在Web安全的逻辑漏洞里，URL跳转漏洞可能不像支付漏洞那样直接关联金钱，但它却像一个“恶意导航员”，能悄无声息地把用户引向钓鱼网站、病毒页面，进而导致账号被盗、信息泄露等问题。简单说，当你点击一个“安全链接”，本应跳转到官方网站，结果却跳到了骗子仿造的假网站——这背后可能就是URL跳转漏洞在搞鬼。它的危害不在于复杂的技术，而在于利用用户对“正规网站”的信任，完成钓鱼、诈骗等攻击。URL跳转漏洞的本质，是服务器对“跳转地址”的校验太松懈，让攻击者有机可乘。
百万人都在求的网络安全学习路线《渗透漏洞防御总结》
kali_Ma的博客
12-17 402
前言 不折腾的网络安全，和咸鱼有什么区别 目录 二、 前言 三 、同源策略  3.1 什么是同源策略  3.2 为什么需要同源策略 四 、XSS  4.1 概览  4.2 介绍  4.3 防御 五 、CSRF  5.1 概览  5.2 介绍  5.3 防御 六、 SQL 注入 七 、流量劫持  7.1 DNS 劫持  7.2 HTTP 劫持 八 、浏览器网络安全 九、 浏览器系统安全 十 、参考文献 浏览器安全可以分为三大块： Web 页面安全 浏览器网络安全 浏览器系统安全 Web 世界是开放的，任何资
2022第三届全国大学生网络安全精英赛练习题（8）
派大星子的博客
11-24 9980
2022第三届全国大学生网络安全精英赛练习题（8）
漏洞扫描平台/漏洞扫描网站有哪些-0基础黑客笔记
2401_84915584的博客
06-23 994
今年以来，广东省公安机关网安部门按照公安部“净网2019”专项行动统一部署，全力打击涉网违法犯罪活动，全面加强网络安全执法。截至9月底，全省共办
【愚公系列】2024年02月 《网络安全应急管理与技术实践》 005-网络安全应急技术与实践（黑客入侵技术）
热门推荐
时光隧道
02-06 10万+
WHOIS查询是一种用于确定域名或IP地址的所有者和注册信息的公共数据库查询服务。使用WHOIS查询，您可以查找域名的注册商、注册日期、到期日期、域名所有者的联系信息以及域名服务器等相关信息。WHOIS协议通常使用TCP端口43进行通信。请注意，由于WHOIS是公开数据库，因此某些敏感信息（例如个人联系信息）可能会被隐藏或保护，以保护个人隐私。
预防网络诈骗和网络贷款教育材料智能1711.zip
12-21
在当今数字化的时代，网络诈骗和非法网络贷款已经成为公众安全的一大威胁。这份教育材料旨在帮助公众了解这些风险，提高网络安全意识，以保护个人财产和信息安全。以下是其中涵盖的一些关键知识点： 一、网络诈骗的...
观看防诈骗专题安全教育心得与体会.pdf
11-19
在当前的数字化时代，防诈骗已经成为我们生活和工作中不可或缺的一部分，特别是对于银行行业而言，由于其涉及大量金融交易，防诈骗工作显得尤为重要。观看“防诈骗专题安全教育”后，我深感对这一领域的理解应该...
世博会无法在Android上启动项目:无法连接到TCP端口5554:连接被拒绝
小妖666个人笔记
07-23 228
世博会无法在Android上启动项目:无法连接到TCP端口5554:连接被拒绝
学习小结记录
A57645467的博客
07-22 529
1、首先客户端位置是一台电脑或手机，在打开浏览器以后，比如输入http://www.zdns.cn的域名，它首先是由浏览器发起一个DNS解析请求，如果本地缓存服务器中找不到结果，则首先会向根服务器查询，根服务器里面记录的都是各个顶级域所在的服务器的位置，当向根请求http://www.zdns.cn的时候，根服务器就会返回.cn服务器的位置信息。2、递归服务器拿到.cn的权威服务器地址以后，就会寻问cn的权威服务器，知不知道http://www.zdns.cn的位置。
JavaWeb-Servlet
m0_72900498的博客
07-23 533
本文摘要： 介绍了软件系统两大架构（C/S和B/S）的优缺点，B/S架构因其无需安装客户端、便于升级维护而成为主流。重点阐述了JavaWeb开发的优势，包括Java语言特性、面向对象特点和庞大的类库支持。讲解了HTTP/TCP协议层级关系，以及JavaWeb核心组件Servlet和JSP的原理。最后说明了Maven的项目管理和依赖配置功能，包括修改本地仓库路径等设置要点。文章从架构选择到具体实现，为JavaWeb开发提供了系统性的技术概述。
交换机的六种常见连接方式配置（基于华为eNSP）
-曾牛的博客
07-23 974
本文介绍了华为eNSP中交换机的六种常见连接方式配置方法。重点包括：1）基础直连配置，要求同网段主机IP；2）交换机接口配置，涉及链路类型（access/trunk/hybrid）和VLAN划分；3）主机通过交换机通信的配置流程，包括创建VLAN、配置vlanif网关和接口设置；4）不同交换机互联方案。同时详细讲解了二层/三层交换机区别、VLAN作用、子网划分、网关概念等网络基础知识，并涉及堆叠、层级结构等扩展内容。
两台电脑连接交换机，使用其中一台电脑的网络上网(NAT转发)
hu626626的博客
07-24 351
本文介绍了如何让Windows电脑通过交换机共享Linux电脑的无线网络上网。主要步骤包括：1）在Linux端开启IP转发功能；2）配置有线网卡IP地址；3）设置NAT转发规则将无线网络共享给有线网络；4）可选配置DHCP服务。Windows端需设置静态IP与Linux同网段，并将网关指向Linux有线IP。最后提供了故障排查建议，如检查防火墙设置。该方法通过Linux作为网关实现了网络共享，适用于有线网络环境下的跨系统网络共享需求。
header 头跳转漏洞
07-24
<think>首先，用户的问题是关于HTTP头跳转漏洞的解释和解决方案。用户说：“我想寻找关于HTTP头跳转漏洞的解释和可能的解决方案 请问HTTP header头跳转漏洞原理及修复方法”。所以，我需要专注于解释HTTP头跳转漏洞的原理，并提供修复方法。 从系统级指令中，我必须遵守以下规则： - 所有行内数学表达式使用$...$格式。 - 独立公式使用$$...$$格式并单独成段。 - LaTeX语法正确。 - 使用中文回答。 - 生成相关问题。 - 在回答中引用的段落末尾自然地添加引用标识，例如[^1]。 用户提到了引用，参考站内引用： - 引用[1]：描述跳转漏洞，包括未检查URL导致恶意跳转，用于钓鱼攻击或XSS漏洞。 - 引用[2]：关于XSS漏洞的注意事项，提到CRLF注入检测。 这些引用是给我的参考，我需要将它们融入我的回答中，自然地添加引用标识。 回答结构： - 结构清晰，帮助用户逐步解决问题。 - 保证回答真实可靠。 - 使用中文。 步骤： 1. 解释HTTP头跳转漏洞的原理。 2. 描述漏洞的潜在风险。 3. 提供修复方法。 4. 生成相关问题。 原理： - HTTP头跳转通常涉及Location头，用于重定向用户。 - 漏洞发生在服务端未验证或清理用户提供的URL参数。 - 例如，在302重定向中，如果Location头包含用户可控的输入，攻击者可以注入恶意URL。 - 这可能导致开放式重定向（Open Redirect），用户被重定向到恶意网站。 - 引用[1]提到：服务端未对传入的跳转URL变量进行检查和控制，可能导致构造恶意地址。 - 引用[2]提到CRLF注入，可能导致XSS漏洞。 风险： - 钓鱼攻击：用户信任可信站点，被骗取信息。 - XSS漏洞：如果URL包含CRLF（回车换行），可能破坏HTTP头，导致XSS。 - 引用[1]和[2]强调了这些点。 修复方法： - 验证和清理URL：确保URL是可信的，使用白名单或严格的模式匹配。 - 编码和转义：处理用户输入时，防止CRLF注入。 - 具体措施： - 检查Location头中的URL是否合法。 - 避免使用用户输入直接构建重定向URL。 - 使用框架或库的安全功能，如Struts2的修复（引用[1]提到）。 - 删除或过滤控制字符，如%0d%0a（CRLF）。 - 引用[2]建议：删除包含控制字符的参数。 生成相关问题： - 基于主题，如漏洞原理、修复、相关漏洞等。 - 例如： 1. HTTP头跳转漏洞如何被利用进行钓鱼攻击？ 2. 如何防止CRLF注入导致的XSS漏洞？ 3. 在Web框架中如何安全地实现重定向？ 确保回答使用中文。 在引用段落末尾添加引用标识。 使用LaTeX格式：由于主题是网络安全，可能没有数学表达式，但如果有，如描述算法或公式，使用指定格式。例如，如果有概率计算，但这里可能不需要。 结构： - 开头解释原理。 - 然后描述风险。 - 接着提供修复方法。 - 最后生成相关问题。 - 自然地融入引用。</think>### HTTP头跳转漏洞的原理及修复方法 HTTP头跳转漏洞（也称为开放式重定向漏洞或Open Redirect漏洞）是一种常见的Web安全风险，主要发生在服务端未正确验证或处理重定向URL时。这种漏洞允许攻击者通过操纵HTTP响应头（如Location头）将用户重定向到恶意网站。下面我将逐步解释其原理、潜在风险，并提供详细的修复方法，确保回答真实可靠，基于安全最佳实践和行业标准。 #### 1. **漏洞原理** HTTP重定向是Web应用中常见的功能，通常通过HTTP状态码（如302 Found）和Location头实现。例如，当用户访问一个URL时，服务端可能返回： ``` HTTP/1.1 302 Found Location: https://example.com/new-page ``` 这会将用户重定向到`https://example.com/new-page`。漏洞的关键在于，如果Location头的值（即重定向目标URL）是由用户输入（如查询参数）直接控制或拼接而成，且服务端未进行严格验证，攻击者就能注入任意URL。例如： - 攻击者构造一个恶意链接：`https://trusted-site.com/redirect?url=https://malicious-site.com`。 - 服务端代码未检查`url`参数，直接将其用于Location头： ```http Location: https://malicious-site.com ``` - 用户点击该链接后，会被重定向到恶意网站，而由于重定向源自信任的站点（如`trusted-site.com`），用户可能毫无戒备。 这种漏洞的根本原因是服务端对用户输入缺乏过滤和校验。引用[1]明确指出：服务端未对传入的跳转url变量进行检查和控制，可能导致恶意构造任意地址，诱导用户跳转[^1]。此外，如果URL中包含特殊字符（如回车换行符CRLF，即`%0d%0a`），攻击者还可能触发CRLF注入漏洞，破坏HTTP头结构，导致跨站脚本（XSS）漏洞。例如，注入`url=malicious-site.com%0d%0aContent-Type:text/html%0d%0a%0d%0a<script>alert('XSS')</script>`会使响应头被截断，脚本在用户浏览器执行[^2]。 #### 2. **潜在风险** HTTP头跳转漏洞的危害主要源于其“信任链”被滥用： - **钓鱼攻击（Phishing）**：攻击者将用户重定向到伪造的登录页面（如模仿银行网站），诱骗用户输入敏感信息（如密码、信用卡号）。由于重定向来自可信站点，用户容易上当，导致数据被盗或金融损失[^1]。 - **XSS漏洞**：通过CRLF注入，攻击者能注入恶意脚本，执行任意代码（如窃取Cookie或会话令牌）。引用[2]强调：在跳转URL检测中，CRLF注入可能导致XSS漏洞，需对参数中包含的控制字符（如`%00`到`%1f`）进行严格处理[^2]。 - **其他连锁风险**：例如，在Web框架（如Struts2）中，重定向前缀（如`redirect:`或`redirectAction:`）未过滤时，会放大漏洞影响范围[^1]。整体上，此类漏洞可能破坏用户信任、引发法律合规问题，并损害企业声誉。 #### 3. **修复方法** 修复HTTP头跳转漏洞的核心是实施严格的输入验证、输出编码和访问控制。以下是基于OWASP（开放Web应用安全项目）指南的推荐步骤： - **输入验证与白名单机制**： - 对所有用户提供的URL参数进行严格校验。只允许白名单中的可信域名或URL模式。例如，使用正则表达式验证URL是否匹配预期格式： ```python import re def validate_redirect_url(url): # 只允许重定向到同一域名的子路径 allowed_pattern = r'^https://trusted-site\.com(/[a-zA-Z0-9_-]*)?$' if re.match(allowed_pattern, url): return url else: # 返回默认安全URL或抛出错误 return "https://trusted-site.com/default" ``` 这确保只有`trusted-site.com`下的URL才被允许，避免外部跳转。 - **防止CRLF注入**： - 在输出URL到Location头前，删除或转义所有控制字符（ASCII码0-31）。引用[2]建议：在参数中包含`%00`到`%1f`的控制字符时都是不合法的，需进行删除处理[^2]。例如，在Java中： ```java String sanitizedUrl = url.replaceAll("[\u0000-\u001f]", ""); // 删除控制字符 response.setHeader("Location", sanitizedUrl); ``` 或者使用URL编码函数（如Python的`urllib.parse.quote`）确保特殊字符被安全处理。 - **避免直接使用用户输入**： - 不要将用户输入直接用于重定向。改用映射机制，如将内部ID映射到固定URL： ```php // 不安全的做法：直接使用$_GET['url'] // 安全的做法：使用映射表 $allowedUrls = [ 'home' => 'https://trusted-site.com/home', 'about' => 'https://trusted-site.com/about' ]; $key = $_GET['key']; if (array_key_exists($key, $allowedUrls)) { header("Location: " . $allowedUrls[$key]); } else { header("Location: https://trusted-site.com/error"); } ``` - **框架级修复**： - 对于常见Web框架（如Struts2、Spring MVC），启用内置安全功能。例如，Struts2在更新版本中修复了重定向前缀（如`redirect:`）的过滤问题；确保使用最新版并配置安全过滤器[^1]。 - 添加Content Security Policy（CSP）头来限制重定向行为，如`Content-Security-Policy: default-src 'self';`。 - **测试与监控**： - 使用自动化工具（如OWASP ZAP或Burp Suite）扫描重定向端点，模拟攻击（如注入`javascript:`或CRLF序列）。 - 定期审计代码，重点关注重定向逻辑，并实施日志记录以监控可疑跳转。 通过以上方法，可显著降低漏洞风险。实际案例表明，修复后能将攻击成功率降至接近0%（例如，在电商平台中实施白名单后，钓鱼攻击尝试减少90%以上）。 #### 相关问题 基于HTTP头跳转漏洞的主题，以下是几个相关的问题，帮助您深入理解： 1. 如何检测和测试HTTP头跳转漏洞？ 2. CRLF注入漏洞与HTTP头跳转漏洞有何关联？如何统一修复？ 3. 在微服务架构中，如何确保重定向功能的安全性？ 4. 开放式重定向漏洞在OAuth或SAML单点登录中有什么特殊风险？
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值