WooYun.org

我用Process Monitor跟踪了支付宝插件（版本号：4.6.0.3602）的安装过程，发现安装程序向 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates 写入了三个新键值：

这三个新键值实质上是向操作系统导入了三个根证书：Alibaba.com Corporation Root CA 、VeriSign Class 3 Public Primary Certification Authority - G5 、UTN-USERFirst-Object。
出问题的就是那个VeriSign的证书，因为只有VeriSign签发的EVSSL证书不能让IE显示绿色地址栏，而其他CA签发的EVSSL证书均可以。原因在于，本身Windows系统中有VeriSign G5的根证书，同时系统中记录了它的EV SSL OID：

而支付宝导入了一个完全相同的证书，但是没有EV SSL OID，这直接导致了IE不能识别VeriSign的EV证书：

考虑到支付宝和VeriSign的用户量都很大，这个问题是有危害的。EVSSL的最大作用就是让用户明显、准确、有保障地知道所访问网站的公司名称，防止钓鱼。你们的插件使IE不显示绿色地址栏以及公司名称，这无疑使网站的反钓鱼能力下降。