漏洞概要 关注数(233) 关注此漏洞
, ?: m5 k5 T8 D5 P* n
, z# ~' u- }7 H0 n( B* _缺陷编号： WooYun-2012-15569: s1 w$ |5 T+ w9 N6 G6 R$ z
6 H* Y" C$ Y7 i9 X9 }
漏洞标题： 中国建设银行刷人民币漏洞 * ~. m6 x( i! J$ i; U$ B, i4 v
1 ~ q0 {: M1 U; p! o/ z/ ~" o& Z* B
相关厂商： 建设银行
1 ^+ u8 U' c" f- v$ P4 n1 H2 P$ z: b7 e R1 O1 y
漏洞作者： only_guest& X# |3 M! E9 j
3 B& X& v3 B! O! g1 Y5 b# [
提交时间： 2012-12-03, ~# {! ]0 K4 F; X
1 `6 n, V, w Z2 ]
漏洞类型： 设计缺陷/逻辑错误( P4 o. w$ D2 w2 m$ u7 n
2 h2 m' n* {/ R: m; T! P
危害等级： 高! s, z Z6 a* j3 v
% {8 e. s3 p% G; W) ?- H漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理
7 c8 J& O6 W3 E3 n& O0 H5 W
% Q8 h. l/ q6 C4 [( D" |1 j漏洞来源： http://www.wooyun.org0 X" c+ O# j% C+ F# O
. B& I8 ~, \1 V+ e3 H, A7 aTags标签： 无 0 p& _% g8 d, X k
$ F$ v# m. G9 f6 {. ?7 H
$ ?& k0 _8 G p4 p) _
8 G% n2 J: P2 J20人收藏收藏
( ~% I' k% ]3 g: v分享漏洞：& B4 u+ c E" i5 R5 |% m1 A6 ^
359 i3 m% A/ I& r. f, e& B) J
$ [7 ]3 B; v: Y5 ^# {5 I
--------------------------------------------------------------------------------( R! z$ l9 ~7 f s! d
4 e9 V# P2 ?7 y8 E
漏洞详情6 A1 [3 B1 I" |: W
/ e$ E7 d' a5 c% ]/ r) O" L
披露状态：0 N8 Z* ^# h9 j( r1 |
" o& Q# N$ q8 J7 `9 V* I6 x7 o l$ T% b, Z7 `4 g! j: \" O! D& m
2 a0 O6 s0 `0 B1 h3 _
2012-12-03： 细节已通知厂商并且等待厂商处理中! K, ~" u6 C# M: H1 r: H. F
2012-12-04： 厂商已经确认，细节仅向厂商公开
% e- x2 @$ D* s% H
# Z3 p( o1 T- O1 p( D5 [/ |8 b7 P- O) H) h8 t9 q0 B" u/ T
简要描述：
) l: k$ _' j5 L, M$ H
8 v2 b U3 Z) P! z5 N% W" x+ H( P偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...) O1 @0 M+ I3 e. m) }
测试用的.你们收回去就是了.我是良民., ]! {/ w& [! D( r! L
- ^2 I' L2 g3 \5 g, H1 j+ a
漏洞hash：47b3d87350e20095c8f314b7b6405711) c0 q6 @$ x$ h; \2 h/ y! x6 B
0 h9 f0 o( I# E( P+ {3 r0 g9 M
版权声明：转载请注明来源 only_guest@乌云. X: _! C2 Z* w) n3 P& g5 P
( ?1 q) o" Q$ y) I--------------------------------------------------------------------------------0 u; L1 r+ o- Y7 t1 }3 c
, ~: y: P" {- a f+ {' P# {$ k; r漏洞回应0 B+ ]# q" ^8 P K, [9 u. w7 L8 F
2 I5 g1 \$ S+ K# b厂商回应：
3 _ N/ e8 o2 w8 b
% y& \! i+ k, [; A危害等级：高0 [& A0 O6 `* Z
9 ~2 d% M8 [) Q漏洞Rank：12 7 k3 E8 j S2 M0 J% K0 T1 D; [
3 G' A3 z0 m% ]: @* [
确认时间：2012-12-04$ ?: y' Z2 ]9 y% O2 K
1 F) T- y0 J" S* e, M. R; W- g3 e& c厂商回复：
$ H; S/ c2 o: O; P1 G
' j+ A" a, l) qCNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
; U, E8 @# s J6 @( ]& @
, b3 y) C; B: p5 X同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
6 |" K" Y4 g: O 9 ~7 C, @& v8 A. B! z) t
按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
+ o8 O _8 r) T7 S; D, |2 t |
发表于 2012-12-4 22:29:23
收藏
支持
反对