找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2198|回复: 0
打印 上一主题 下一主题

建设银行任意取钱漏洞

[复制链接]
跳转到指定楼层
楼主
发表于 2012-12-4 22:29:23 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
漏洞概要 关注数(233) 关注此漏洞* d6 _7 S2 \- S: m, ~4 S
- O" [. Q8 \* Q. O8 e) S
缺陷编号: WooYun-2012-155694 ^' I( G! |; a" u: E
( T) B) g# |  d
漏洞标题: 中国建设银行刷人民币漏洞 + @; U# U7 g2 L1 h" x$ [
$ p+ |; [5 K% A
相关厂商: 建设银行. V  b% T/ ?. `
# u8 R% B5 `0 j  u5 u: Z
漏洞作者: only_guest7 L. Q: V- ^) g1 \

5 @1 Z7 e, Q; {8 z8 e6 h- _提交时间: 2012-12-034 z# H2 a' s9 ]

0 P/ p1 F9 U  o6 f" g4 Z漏洞类型: 设计缺陷/逻辑错误3 j) N$ L8 ~4 H; r$ Y2 X0 w

4 X' V- D4 Z7 l危害等级: 高- m4 U, X" b6 y5 @$ ?
4 M. b- I% w- o$ U% f; [
漏洞状态: 已交由第三方厂商(cncert国家互联网应急中心)处理 ( ?6 X2 U! I" e9 k& v
6 P$ f) I7 v  F9 f
漏洞来源: http://www.wooyun.org
9 [; _$ x! O+ m; i; C2 B! [" h% p6 O& y; f
Tags标签: 无
! K0 O1 ?9 r9 V" o/ Y* ~; G. c4 }9 S) ~( m* Y" g& F
2 W. L1 J9 O9 F& W8 H

  N; p# [1 D, W+ y) E* R; I( W0 s20人收藏收藏 " ~3 Z2 p$ w% n* N
分享漏洞:" V: I; B% Y7 L0 j% p  }7 D. D( Y
35; j+ m$ \0 S1 W# \2 ~

: o5 n8 A: F. U$ A8 E4 _, O3 c--------------------------------------------------------------------------------* c2 D  ?; }, G" D2 y

- v* ?0 K4 n3 N# G0 l- y6 z( o漏洞详情- c7 u- x) c/ c/ L: `/ d: c2 f1 E
3 N. X4 t  z8 V4 [% X% E/ j
披露状态:  A4 I0 c$ @. k
3 a# t7 G! ^3 _/ a$ @& C

, I- Z7 n& ?% \$ e% b- Z) _/ C
8 S, F) P" N' k4 J2012-12-03: 细节已通知厂商并且等待厂商处理中
; Q9 Z) g' p* x$ }4 M- }6 _2012-12-04: 厂商已经确认,细节仅向厂商公开
% g& J8 O2 p+ n! L
6 Z5 Q; [6 v7 B+ g* s) ^% H
$ M' Y: o& j8 _! ?简要描述:
: _! i# x! f, x4 d3 C% w0 E
9 M7 R5 q6 L) S: {' e3 K+ l偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...5 ?7 i+ S9 e. k0 a6 x! y" c
测试用的.你们收回去就是了.我是良民.
9 x- r  ^0 z% Z/ L. W
' P# a2 `. w2 W4 k2 R  U- C漏洞hash:47b3d87350e20095c8f314b7b6405711
9 G6 o1 J! b0 C( B1 B3 Q, C
- L3 S' [9 E! Y1 f, C0 u版权声明:转载请注明来源 only_guest@乌云
( M( e$ B% R7 d0 O3 J. _4 x( c
( O+ S! r* l8 ~/ f--------------------------------------------------------------------------------1 [  C" i" b" ?( g+ B! {" s; I+ K) g; K
* C! Q; X, p7 F+ O
漏洞回应$ r- c1 l/ Y3 O5 Z

4 c# x; ~2 Z) F( x9 ?* }8 j厂商回应:
6 z! _2 v" Y7 }3 C1 K% x0 J# [# }( n, h
危害等级:高& K' w% J. E  H" y& Q2 Q! J

  Z' P: X+ a3 F. y, t漏洞Rank:12
9 \! x3 c, r/ w5 [. o7 c! Y5 l  H' K$ E6 n! I
确认时间:2012-12-04
) y5 G+ i$ A; c) ?
0 z: c! b  \2 k& S# D厂商回复:' G% W8 X+ O7 }3 h, ?( `
! D" I1 u- e2 _$ _
CNVD确认漏洞情况,已经转由CNCERT在4日联系建设银行处置,待后续处置反馈。8 B' W( s* `+ E7 k

2 j  }" l" w5 D0 `3 i同时,近期此类订单篡改(或支付篡改)漏洞在一些网上商城或支付网站频发,对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
6 g2 D0 I( s; ^$ ~$ s( Y; _* b % U9 m4 V$ n& l2 \) d4 t+ i" o
按部分影响完整性、可用性进行评分,基本危害评分6.42(中危),发现技术难度系数1.1,涉及行业或单位影响系数1.7,综合rank=12.005 M; z0 p2 E7 g2 Z* K3 u6 k, q6 x, ]) H
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表