找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2208|回复: 0
打印 上一主题 下一主题

建设银行任意取钱漏洞

[复制链接]
跳转到指定楼层
楼主
发表于 2012-12-4 22:29:23 | 只看该作者 回帖奖励 |正序浏览 |阅读模式
漏洞概要 关注数(233) 关注此漏洞
( I& [, F- p" z1 h* e: c* h8 P/ e: e! U$ P; r+ Y
缺陷编号: WooYun-2012-15569& N; H$ A$ O/ E* `0 I( J
; K: s2 k8 a9 C
漏洞标题: 中国建设银行刷人民币漏洞 4 ?3 S/ o, w+ t! m

6 f, A( ?3 _0 M0 t! M2 F) @1 x相关厂商: 建设银行8 F6 n  w: p0 R# ^' G# l6 X

2 g4 }6 }1 I; F# {2 N3 C漏洞作者: only_guest
6 [$ c2 \- D3 k& ~9 n2 @% I5 n) W
# a+ {$ k$ c) w) x提交时间: 2012-12-03
3 }# c. \8 v" G& s' Q* p5 i2 y; q, U9 g: _: \7 ]) g( Z9 y3 s
漏洞类型: 设计缺陷/逻辑错误$ V- }) v7 O9 J& d8 Z# N: K

- z, {( R6 e4 q1 c" o2 R危害等级: 高
4 r+ w1 m# W' r5 u
+ d2 X) J5 r) I6 ?- t5 E- V漏洞状态: 已交由第三方厂商(cncert国家互联网应急中心)处理 + G3 W" Z, B+ n' ?; B( Z$ q1 S

5 u( i; w9 U; e5 j' g漏洞来源: http://www.wooyun.org
1 N+ Q1 }( I0 T
4 L. i4 G3 R- y; R" l. DTags标签: 无
5 ?" o5 Y. v1 x6 r" i/ D7 ]& k; g7 t1 Y; l# t6 V
8 B( ?& [) z. t" {9 c# x. X

. B. n: k, K4 s  ~% j" L! g20人收藏收藏
" X: K3 e) \2 ?8 p* a/ ^7 p  c6 W分享漏洞:
' D) U/ x" X+ w4 S2 Y35
$ ]5 D: z! k* O/ Y- v1 v1 i& r0 m6 A/ V
--------------------------------------------------------------------------------* G, x% n" T( c( ]3 k5 V

8 m5 Q. r8 y6 P) D$ T漏洞详情# Q+ s# U/ w! O* p# b
+ C0 u1 ?% Q0 q: W4 v3 E
披露状态:
( X& i( b' g- A; w0 J0 V5 E# J3 c. u. s% B9 P# i4 z3 U8 M0 E

3 I/ Y. n# n) ?1 G7 `' W% B& m/ U( q* G$ x. F3 T, Q9 t8 W  F
2012-12-03: 细节已通知厂商并且等待厂商处理中" g; p( ^! F# l4 |) D% g- E3 M" @
2012-12-04: 厂商已经确认,细节仅向厂商公开, P5 T0 U, d5 H: G* L
! `  N& {' Q  k1 j3 N- Z
+ ~/ B8 |$ P$ n8 k
简要描述:
# f$ W( Y0 ~2 I' I5 @& q3 S2 K& }: y0 h2 [/ m0 e
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
% q  Z+ z4 Y$ @3 f 测试用的.你们收回去就是了.我是良民.
4 g& z. T- K# k# |, u  M1 O
1 s1 y" y1 u6 B+ k5 Z7 H漏洞hash:47b3d87350e20095c8f314b7b6405711
& I2 h  C1 x* Q2 X7 Z9 @- M) U4 G# x  B. r! \3 X# S+ Z
版权声明:转载请注明来源 only_guest@乌云
' R- ~) V1 m) g) S5 U( c: J' ^" y$ X6 P7 L
--------------------------------------------------------------------------------
) _: A% J5 n6 `/ ?  o- f. ^
$ K6 Z" Z: R( @漏洞回应
2 l" p# |/ ]* a7 e! p7 s0 W$ b" n" n/ o: {5 [" c  _( m
厂商回应:, J6 L' K, Y7 F4 x; I
! `, `* ~! o) x' I  c$ f* [& L
危害等级:高
" k: k2 O9 T, d- d' v, U. L
0 u9 a1 R) Z! ]* R5 @3 L7 W, H; a2 A漏洞Rank:12 ) ~! K" Y! h: n# z9 |2 Q) \4 m, U

" {- O: m* @* O  \& G8 B确认时间:2012-12-04
( ~- ^: a# U4 o* Y" @/ L9 O$ e$ }- S& K# W" [  j/ i
厂商回复:3 |6 v; L4 B1 S7 M$ z. t" z

( E) G1 b  `/ R$ FCNVD确认漏洞情况,已经转由CNCERT在4日联系建设银行处置,待后续处置反馈。- Q) L8 U5 p" U
7 b5 B( B$ b$ D: S
同时,近期此类订单篡改(或支付篡改)漏洞在一些网上商城或支付网站频发,对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
6 x& f4 \  [7 l: s3 k
) G( v, M; u4 [8 C按部分影响完整性、可用性进行评分,基本危害评分6.42(中危),发现技术难度系数1.1,涉及行业或单位影响系数1.7,综合rank=12.00, C* ^8 t2 }; X" U
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表