中国网络渗透测试联盟
标题:
建设银行任意取钱漏洞
[打印本页]
作者:
admin
时间:
2012-12-4 22:29
标题:
建设银行任意取钱漏洞
漏洞概要 关注数(233) 关注此漏洞
K k; l8 {# R+ a! Z; X' |2 T
3 a9 G8 ?, n) [5 z' C1 d
缺陷编号： WooYun-2012-15569
2 v) @ Y; w: t* N4 i4 v
5 l7 A9 Y! ~2 v: h$ e! b
漏洞标题： 中国建设银行刷人民币漏洞
3 j0 {( }4 B8 d* y' ]
7 f/ f2 f( ~( B( j
相关厂商： 建设银行
0 h6 o* ~( e: H( F! |3 o0 B
: ?4 H7 W! c- [. i9 m( x" |8 n- L
漏洞作者： only_guest
; H$ S5 |; B6 g) u
# }7 f! d: e6 T$ A
提交时间： 2012-12-03
1 e" Z! `( A0 {2 u
2 w0 u$ D/ h9 N& \- @
漏洞类型： 设计缺陷/逻辑错误
& B# i0 x$ P/ j/ j& Q. u
# X# h' ^ m0 z* t! x# A
危害等级： 高
, U9 O J. ]: K0 _
% m3 w r3 n7 Z: _
漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理
( m4 V, g. `6 ]3 t4 w& I6 N* I
3 I3 a; X5 R4 z, J. _4 m
漏洞来源：
http://www.wooyun.org
3 S* m' ]! u' b' g s3 Z1 w8 m
% B- a" ]$ |& M, V1 \; I' |2 K
Tags标签： 无
: |6 B7 n9 i9 w" a
# ?* k3 r7 ?5 n9 `
+ d" b$ w8 \5 F- T* e0 E1 o( l0 t
5 F7 `. o. R/ j& j# g6 \
20人收藏收藏
7 J* [% y& s! Z4 N) |4 U
分享漏洞：
- U* c( c7 f2 ~7 l4 h
35
8 U- W! m0 n" c
, v! D a* I# M- H1 ]8 |% U- H& v* Z
--------------------------------------------------------------------------------
+ _, s4 Q& W- x6 M
W1 O/ ?. U0 Q9 v
漏洞详情
' A# |, f: o1 X M5 S7 u
8 [" f& S& c# m- C: e% |
披露状态：
; f- V) e7 t( S5 E5 v( C
. z" o: A& b9 k9 ^
w: |7 }4 `5 b
, Z; i( l$ H. J
2012-12-03： 细节已通知厂商并且等待厂商处理中
$ h3 ]" E, o; I: R2 N' ]
2012-12-04： 厂商已经确认，细节仅向厂商公开
) S: X; g3 U' L# y0 a
5 t/ R) }2 m% G: e5 s- F
# c6 m" U3 i! K6 r7 C7 b
简要描述：
# w+ v7 }$ H9 ?+ \/ ?, q% r
" r0 h/ g: J2 |3 w' S
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
( }1 m4 V& [( O9 ^8 U* R& x* C$ ?& n
测试用的.你们收回去就是了.我是良民.
# c) G) M4 s+ ]0 V0 [6 z
! v& @% F; R( x* @
漏洞hash：47b3d87350e20095c8f314b7b6405711
5 v' B# v& k5 g& Q g4 N
. j' S/ R- }6 T* b1 b5 t4 ]
版权声明：转载请注明来源 only_guest@乌云
& k/ |$ f2 U$ I2 b
- T9 s# w' d u# t+ C! [/ ]- l
--------------------------------------------------------------------------------
e- l9 c. i G$ f* m% v. ~ D
. r' n: n) N% n. j9 i, O5 _
漏洞回应
# H& a* H. D$ Z5 \6 C9 R
$ s1 g4 g! U" Y9 r7 G( [
厂商回应：
* D1 z; {2 |. B% o
- b, m9 L& Q9 x( J! q7 h2 r1 ~
危害等级：高
; W9 Q# z5 q5 o
' d) L Z d* C# A
漏洞Rank：12
3 n2 y) O7 U: E1 s
1 T( I( w5 ~; I8 X5 S& `" h6 [
确认时间：2012-12-04
% m3 z/ @4 [4 G! @! O
% D K7 U, _+ `1 T8 N" r
厂商回复：
! Y# R6 B, H+ {
9 k6 V; a& v; T- X
CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
, p% S+ u4 o! r; {
! c+ ~- u" O6 Z, ~8 Z6 f
同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
9 B" W1 K$ G! s: j
3 ^1 L$ m: U0 E+ M' z0 c
按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
! G) L5 ^3 ?! q9 g. y+ i' x n
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2