漏洞概要 关注数(233) 关注此漏洞9 j, b! P$ e% d2 x; w$ B6 H
3 j. R; t% @+ e `缺陷编号： WooYun-2012-155696 ~+ c0 c! H, h$ U
* d- s3 c/ j1 y, \* ?# {. h1 c
漏洞标题： 中国建设银行刷人民币漏洞
' H1 C6 P( g6 P/ U4 F) E1 ] t6 E2 u4 _/ w$ Y1 q: U# j
相关厂商： 建设银行5 h8 S& n6 E+ l- E' E+ w
! [0 W2 c6 b! F& f4 k& O- r
漏洞作者： only_guest; ~( S# \0 p/ C( b, o% p
0 q6 j' z! X" _. ~8 u3 q1 {( l O
提交时间： 2012-12-03% d Z3 ?0 C5 k, n8 H8 {8 u
8 L$ A4 l9 L9 Q4 @1 W5 N漏洞类型： 设计缺陷/逻辑错误6 ~4 N2 p2 G c/ g. G* K
1 ?+ Q% j# ], p( A* h* W危害等级： 高
! O2 t( o( j1 h
# j; e) c; H {- l s9 t漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理 . ?) r" e/ I6 c" W
! O; `, ` }4 b. d- H. W. i9 n漏洞来源： http://www.wooyun.org6 v/ g7 U. Y+ M. V) c
) ^" r5 a I- b! n z3 }
Tags标签： 无
7 e, Y4 R6 }1 L7 {! d5 I" c5 \* p, L1 l5 l
b9 {- |/ m( E5 A+ I
; g+ R* R/ Q d8 V20人收藏收藏
Q p$ U0 l: C5 z. g/ l" Q4 Y分享漏洞：
8 Y, I! T2 T' e1 `35
/ j. E& e% |, e0 S. O+ D( d; j! A. l( S: Y# g
--------------------------------------------------------------------------------
4 |# ~3 B3 v. @. v( K7 ]1 O3 Z \0 M+ C. {3 u
漏洞详情
, o/ B) s& V, v# q+ l& r* _/ a9 Z1 i/ [, R9 p# z, G9 Z4 d; ^
披露状态：$ r) k) P7 L& ]: K4 q" Y, M
9 B3 i! E7 z u j# J
* Z$ w/ ~$ h$ z. g5 ]) U% \4 r
6 P# I+ T/ P" N$ {- q9 X
2012-12-03： 细节已通知厂商并且等待厂商处理中& i7 e* L% M W
2012-12-04： 厂商已经确认，细节仅向厂商公开
( J4 j. j8 ^1 O Z; h" K2 s W2 e- [0 }) E( D- ]: Y" O9 E
& A6 a7 f6 b$ c1 D+ E简要描述：
, b1 } ?. ?2 F. |1 j2 V7 s9 M. }& r( Y8 D) {3 i( O- t2 a
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...) t! A# d/ y; N ^/ J
测试用的.你们收回去就是了.我是良民.
8 K9 m7 N4 F9 x; }; [2 Z, t2 m8 @% c) s' F G$ B( E% j
漏洞hash：47b3d87350e20095c8f314b7b6405711
" m1 L$ f- _ q" M( r
2 }/ L) e- e* Q8 ?, S版权声明：转载请注明来源 only_guest@乌云
+ U$ P7 k/ [0 c, X6 u% G
$ ~! n+ t) ]0 m/ ^/ z. c--------------------------------------------------------------------------------
2 f* d- u/ W2 k$ l c0 e8 Q. N! K0 J7 u+ E# ^
漏洞回应0 a: c7 `: |. H
6 G1 \. U3 A" @' w/ j厂商回应：2 e- }, x- T! [5 P% ^
7 q% M6 `% o5 r: F危害等级：高9 I& @9 o& g6 C- j Z2 Z) \4 g
2 I- U& R" L! I/ f% f8 H
漏洞Rank：12 4 N9 S* h( I" Q
- H; M1 ?$ X* n& ~- U确认时间：2012-12-04
8 P9 W0 ^2 Q1 `* f. g$ p" `, g9 R$ h8 x; W
厂商回复：7 ?8 l; @3 j7 s% _! ?( U; v! i
$ E+ @ r- i6 R/ ] {( m0 x& j: H
CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
4 n) a" V F8 r! O/ m/ ^ 1 t; E5 A, f" ?/ K% C- A. |6 p# A
同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
" @( i5 M( L4 R) C6 n+ Y
4 {& }% G1 h A按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
+ P$ \7 W: x1 {) S |
发表于 2012-12-4 22:29:23
收藏
支持
反对