建设银行任意取钱漏洞

admin

漏洞概要 关注数(233) 关注此漏洞
( s4 c- @/ m9 T3 D
缺陷编号： WooYun-2012-15569

8 F) z# \/ i7 a5 X, o漏洞标题： 中国建设银行刷人民币漏洞
( c3 T- N6 K$ f9 s
相关厂商： 建设银行
. S* t. P: i) ~( r7 _4 I
6 Z8 h$ c4 J2 Z- K. F漏洞作者： only_guest

' |4 d* O2 `. l) ]  x4 a提交时间： 2012-12-03

9 R) X# M! v+ g漏洞类型： 设计缺陷/逻辑错误
3 U6 z. |: }8 K( S
危害等级： 高

漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理
% Z4 O4 t' f2 g. s' K$ u% U! V, v
漏洞来源： http://www.wooyun.org

' h" ?6 m; `( S/ WTags标签： 无
1 [6 J. T  k2 l: `* t6 Q: ~
9 }) z  ?8 T; ^3 W* n6 E% k: h
9 l8 q7 n, }4 O3 o1 _+ r4 @( `2 B* \
$ P7 B* _. J& A5 @1 y20人收藏收藏
分享漏洞：
5 B7 ]1 K$ R! @/ |, @1 j/ B35
9 R5 a4 A# Z5 r# X
--------------------------------------------------------------------------------

& r" h$ g6 r9 R8 G3 B$ G漏洞详情

; b4 n$ q; B- P披露状态：


; O) V+ c' B; ^3 w; P& ^1 F
2012-12-03： 细节已通知厂商并且等待厂商处理中
: F1 S; }4 l9 O0 r( ?; |* f2012-12-04： 厂商已经确认，细节仅向厂商公开
1 i7 Y: {. H; _1 U' y% u
' {* y9 R  A  }, A$ x4 _
简要描述：

& `  M2 x6 K, }偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
测试用的.你们收回去就是了.我是良民.
# f# A$ \9 O) T& `+ M
漏洞hash：47b3d87350e20095c8f314b7b6405711
1 B: R' {' g) ]! n9 N4 j' K* u. C
7 M2 p+ q4 u5 V9 D& |8 `& |版权声明：转载请注明来源 only_guest@乌云

% t% k( W4 ]2 E$ W- Y--------------------------------------------------------------------------------
, }4 b( E8 p- ^8 m' @5 Q
漏洞回应

厂商回应：
1 H+ ~( F# R: M& g, u5 e
$ g- ^! j  L4 S3 C1 P6 [8 r) I! L- f危害等级：高
& V  ?  N+ e; x3 L
漏洞Rank：12
1 }- R% A: ^+ N4 ^8 c8 E
确认时间：2012-12-04
! ~& S. h+ R; K+ F* q' ?
+ I' P5 Y: G) Y+ d- S厂商回复：

$ S! V7 Q- A- c; B5 }CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。

2 T) g& O7 ^& W6 n+ M# ?$ N! T% T同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。

按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00