建设银行任意取钱漏洞

admin

漏洞概要 关注数(233) 关注此漏洞

- z$ l& a5 J7 o, _: g缺陷编号： WooYun-2012-15569

7 t% B2 T- H; S$ C$ z  S7 U漏洞标题： 中国建设银行刷人民币漏洞

/ T/ R2 O! ?- n相关厂商： 建设银行

漏洞作者： only_guest
/ u8 Z2 q7 U) w9 F* n/ B
提交时间： 2012-12-03
2 h2 \: g4 _3 E; \4 g
漏洞类型： 设计缺陷/逻辑错误

5 I8 ~. R$ z" N* D( w( v危害等级： 高
: ^: g! \# l* L
漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理
9 n0 I" A2 Z' u  K( g2 j( F- p
7 K7 n4 }6 H1 U1 J4 i( f漏洞来源： http://www.wooyun.org
: n4 [; s: F: w
, `6 x: Y8 P! a3 ETags标签： 无
3 Y- m. f$ w: G3 U6 r' F0 [
) v3 B6 Y! ~6 p! v
* Q' C/ U/ ~8 ]$ O3 r0 i
20人收藏收藏
. s- `, e  ^4 \" G1 j分享漏洞：
35

% G2 H, Z  a8 V  ?: Z+ A& Q1 T--------------------------------------------------------------------------------

漏洞详情

披露状态：
2 D: v5 s1 Q/ P7 G: g0 W6 p7 m

5 i$ O" P3 l! q) K7 X
2012-12-03： 细节已通知厂商并且等待厂商处理中
2012-12-04： 厂商已经确认，细节仅向厂商公开
% ~* B& r, S1 ^% S( B. [
5 T) U9 J  `8 ]; Q
$ T. J. F; S7 ?4 ~简要描述：

偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
测试用的.你们收回去就是了.我是良民.
% s) d( V3 Y$ v2 O& y' X4 z1 S
漏洞hash：47b3d87350e20095c8f314b7b6405711

1 _  e% f) T: a2 \# o版权声明：转载请注明来源 only_guest@乌云

3 q% K2 T( k6 D3 d# E8 v--------------------------------------------------------------------------------

漏洞回应

厂商回应：
. x+ x7 o* g+ M
危害等级：高

  R( j% y. q* b. Z$ D) x: }漏洞Rank：12
( l" w- H' }: `1 X
确认时间：2012-12-04
; a3 m# K% y6 x8 L( G2 D) Q
  \) B% B0 r9 |/ e+ M4 ]2 M/ E厂商回复：

( V# n. k1 R/ ?( z" c1 r0 y; fCNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
: z4 Z( i& s: a& {# `! `% R" A3 ^" c
  z; V2 I9 v0 n' d: e同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
5 f' A* x% K& I3 y% {
按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
* l3 k7 Q! S5 w0 h/ G