漏洞概要 关注数(233) 关注此漏洞/ @4 [" \2 R* k) r4 n! ]1 _
& k# g% h9 y- I9 ^缺陷编号： WooYun-2012-15569
7 e8 Z3 L+ _/ @2 q8 f+ H/ r9 |& x: M( W* o' ^* n1 F
漏洞标题： 中国建设银行刷人民币漏洞
9 f7 \0 T; R& @! R* F7 _( @" K2 a: m7 S+ S
相关厂商： 建设银行
1 w! I% W& p7 g4 w
. D& k, v/ r# A漏洞作者： only_guest
8 F$ v( B0 H( Q& @4 i& ^1 T; n+ x
0 R+ W6 R3 W1 e' Q提交时间： 2012-12-03
0 I# b2 t" S0 h7 W0 b2 |. m' d9 B9 H( B$ n
漏洞类型： 设计缺陷/逻辑错误
6 x% {$ t+ D7 E/ w
8 a |0 ?1 g1 \# P' s6 [危害等级： 高& g5 f, G% @, Q; R. f
, \* D: e$ b1 P% y1 }' \$ g漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理 : P' S' ]3 c6 h' z: g
1 f5 O5 C: k8 w8 Y漏洞来源： http://www.wooyun.org
2 \5 j& f& P5 X) z3 B, B; ~5 l
Tags标签： 无 ) x1 x* l+ y- p5 l& q* J
2 \0 O5 _ r- u4 ~' I2 q$ L
0 M( u, C5 X( c% U; p" O
. n- M% b2 s9 D H5 |- h# K# J20人收藏收藏
1 c+ |- m7 R- E8 J分享漏洞：, J0 M! y7 ^# S _. g. E( t
358 j! D! d! ^% w$ s Z
: K# ~9 _* \% T--------------------------------------------------------------------------------0 }, W3 d, b3 R
! X; Q& L/ {, U6 l$ Z7 E. }6 u P6 b漏洞详情0 r+ m* L& G2 K( t! [0 R* C9 `. Y
2 ^7 D, l% i8 v: V* |/ A% }
披露状态：3 v" E2 B4 Z! @+ [. i' A
x1 f3 T+ N G: H4 m7 [2 a& r
. y$ s7 O2 X5 {9 M& E' I
" d: q$ p) \; l! R4 `6 \: K2012-12-03： 细节已通知厂商并且等待厂商处理中
% o* m0 ?4 |. @! j/ a, n# b2012-12-04： 厂商已经确认，细节仅向厂商公开
! u, S* a4 ]/ |5 ~0 r
+ \2 Y/ l9 K/ s7 \2 @9 g- i) M. P) o2 K1 l( _3 ]
简要描述：5 e0 X4 c7 I/ s7 x; V2 N
) I( |' |* w9 U* b9 K6 M
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
: ]0 L% i: L6 ^5 I/ O- m! U 测试用的.你们收回去就是了.我是良民.
* u) a8 ~; ~0 s4 Y/ o3 a* ?+ r
漏洞hash：47b3d87350e20095c8f314b7b64057116 G V8 D/ h. C. l1 w+ H
' w4 Y9 ~- D; N% L; |9 L版权声明：转载请注明来源 only_guest@乌云0 P# b# S' c4 Q2 U [1 P
4 r; w( K& N5 j--------------------------------------------------------------------------------
' j, i* n' x) V1 l* Z
4 a8 }1 L, O' h9 y- u! ?* |漏洞回应; k' ]9 h3 `2 w6 A8 L
* C- E$ p, c/ R9 F2 S厂商回应：1 A. V1 l# f8 k7 e0 V! X; A9 H
) K# ?2 [+ [- }% Q: f危害等级：高" s" Z- Y& w0 d
! d- \* q7 L$ A# z- `/ \
漏洞Rank：12
' [8 y& q; G2 e
" l/ ^7 ~1 o: H$ p9 G! O确认时间：2012-12-049 y" s2 Z" C& }# @1 M
- z( E& h1 G5 Q- a) R厂商回复：
2 p8 M) m: C/ ]6 _) S2 s& ]3 g% b
* e8 W o& d- ?- c4 |CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
. @, N5 b/ t9 c" m+ @# [ 0 g1 @9 L3 y& q7 k% d
同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。* f7 u, {% ?9 x) F t/ L$ ]! _4 O
# a0 V) |% l% O0 g按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00) R, d% b. B) L
|
发表于 2012-12-4 22:29:23
收藏
支持
反对