建设银行任意取钱漏洞

admin

漏洞概要 关注数(233) 关注此漏洞
$ c- t; Q8 F& z$ u" M5 i
0 z' H/ e: A6 K缺陷编号： WooYun-2012-15569
* q+ ~# D7 E' d
2 u  g- J1 b% \- ^% x  C漏洞标题： 中国建设银行刷人民币漏洞

相关厂商： 建设银行
0 r. C0 V& Y6 f. V$ N/ ~2 ^
7 }4 }; ?* `' j, Q# d# _漏洞作者： only_guest

% q& p) @" ~) B9 H' q& B  J提交时间： 2012-12-03

: v6 N6 {+ m3 U  D8 U漏洞类型： 设计缺陷/逻辑错误
' |2 k8 K& R) M5 {/ a9 e% K7 P
9 X4 G  a( ]- I6 Y危害等级： 高

漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理
0 I6 e: k! W- [) d( h& j0 Y
: J& b9 L  u. }! L$ O% _5 A$ G漏洞来源： http://www.wooyun.org
; e, O5 L* y) u  a
Tags标签： 无

' }0 O. I& p3 @, S6 p' `

- k5 i3 u& U/ l, a- D& ]  h20人收藏收藏
4 ~9 p/ [* v, w2 q% U4 _分享漏洞：
, u5 o6 Z3 J  d7 }/ ~35

1 C5 S. M2 B+ _--------------------------------------------------------------------------------

漏洞详情
, G5 a& g. ?- D
3 Q* l* u  H& I  _( [' T披露状态：



2012-12-03： 细节已通知厂商并且等待厂商处理中
2012-12-04： 厂商已经确认，细节仅向厂商公开
+ h+ t1 n' L# @( @9 J. O. z) v

简要描述：
' W8 e& }0 |2 t/ R4 @5 g" {2 v, d6 D
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
) w1 J; F1 E0 T 测试用的.你们收回去就是了.我是良民.
& D4 k  b& v6 g) @  M
漏洞hash：47b3d87350e20095c8f314b7b6405711
4 Z5 F3 K  O  Z. l4 ^
版权声明：转载请注明来源 only_guest@乌云
- K. C# u: N5 R$ V
5 Y( u( C. _* r& v/ q--------------------------------------------------------------------------------
2 o+ \: p* ?! X, N
+ o/ w0 s, N- J. D/ P漏洞回应
; Q4 v- _1 m& {2 M
厂商回应：
- H  N  L- p9 a7 {
危害等级：高

: l  ?2 {  J6 Z1 O0 _漏洞Rank：12
9 X' z- j8 I+ v' N; M
2 ]  F) q( X; u; D9 }确认时间：2012-12-04
& `. C8 i' m" R' k
/ A. U+ K% [2 m$ S" p8 }厂商回复：

! q0 d- D4 K' f& x+ eCNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
/ V( F- i) `) S5 b3 ?6 f4 ~
! w$ f' y, H. ~( d2 T4 x% _同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
9 z& X& k8 b0 Y3 Q! h) K: X- }1 `
. N  `4 t  z0 L& ?/ f8 {0 l2 r按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
; j+ b# {6 a+ o0 P* y5 Z