漏洞概要 关注数(233) 关注此漏洞# X8 b! l D: b- S4 n/ q
+ s0 J* a, s2 t4 s3 N6 V! f
缺陷编号： WooYun-2012-155698 \1 X' ^( }+ S7 i+ q) v6 _$ [
1 O- [8 t5 O- y1 j, y' g0 b漏洞标题： 中国建设银行刷人民币漏洞
8 D* K2 }' U7 j$ C e: ^; ?! h- F+ Z J4 {0 X* ~ n
相关厂商： 建设银行
+ Y' {% ^; B$ w x8 t
9 Q5 W/ E9 {( h4 P+ V5 ]$ W漏洞作者： only_guest
/ X/ C# u0 n8 `' ]- o* r
1 y) l3 L' D* g) ~1 W' F提交时间： 2012-12-03
$ n; P0 K0 W; J6 X" r- J* N! g* o: |7 d
漏洞类型： 设计缺陷/逻辑错误1 m7 A9 V3 E/ v7 l9 o* N
% M) `* V4 C6 N' A% y! U) `$ [1 @: ]1 Q
危害等级： 高7 z! e' `" V' o+ k8 A7 U" d, S# B
' [! J# k5 @$ P+ U3 H/ H0 C漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理
: i$ u( @5 \( q( z( g7 T5 t' u+ B1 N
漏洞来源： http://www.wooyun.org+ b q1 D. D3 F' v$ D4 E
/ W1 L& U' g ?Tags标签： 无 $ V. h$ n! }9 N- y; U
; {2 S4 U4 I2 D: C X# |1 y; m" s
, x$ y T- t; E! ?/ q6 ^" \+ ^
, G; k6 _/ O V" j2 E4 w F20人收藏收藏
0 `$ M( E* t2 x0 |& `分享漏洞：
/ `7 Y+ A" p7 K, g' F35( l) l8 W$ ~0 i# [/ F; `! n
- w' `/ X/ O9 y/ m' f
--------------------------------------------------------------------------------1 P9 s0 L& C/ ?5 \
, p; u/ w& v. H, B0 C6 \漏洞详情
8 N0 B+ Z2 I7 E0 R# G( A. Z" U: P
披露状态：
- P8 K. R% S4 u: Y, a4 p% y& k, m9 h! P
# ]: j: O. T% W. U# k, Z2 I! C! U, |7 }, z
2012-12-03： 细节已通知厂商并且等待厂商处理中
. r1 z5 ~3 i+ e; E9 }0 Z. e2012-12-04： 厂商已经确认，细节仅向厂商公开' q2 ^7 x' I' Q/ x
! {% U8 K* j4 ~
# P# m& u' j5 H3 ^" g: z
简要描述：6 ]2 J q! ^( r5 }9 m, Q$ A
& G4 T" ^7 q9 q7 S, T( X% x偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...9 g) E5 T. T! ~- J9 x7 q" l8 h
测试用的.你们收回去就是了.我是良民.0 l6 w d. {4 ^8 S' G. @+ s8 ]; [: T
" q5 ]1 w1 a8 ]1 E* N: D0 Z
漏洞hash：47b3d87350e20095c8f314b7b6405711
' d: |- n+ g" l4 w' [; Y& ^- f+ c/ t, c
版权声明：转载请注明来源 only_guest@乌云+ |! S! q3 y/ Q0 t" t# E
8 b% N) S* R+ t7 s8 p9 p4 H# i
--------------------------------------------------------------------------------( H! {* M. o% g5 Y* R1 Y
2 {' m1 q q `- y: v% K+ a: y3 D0 [漏洞回应6 `$ ~$ ]1 K! o0 J3 \+ I' U
1 [6 f) l ^" r+ A" d- t( b& K; ]
厂商回应：: ]$ |; x3 m" u7 W& h/ F
" o+ U) h8 i. v4 k& h& h2 P# \危害等级：高
/ i; Q2 f/ U5 T( d) `
4 B: ?0 z. Z$ A7 x2 k( z3 \6 q2 Q; h+ Y) u漏洞Rank：12
2 h) V; T' S9 @7 q# @1 {+ ]0 A# |% l$ O" w
确认时间：2012-12-04
& B! j5 O4 t5 y8 |, @, I/ o: J9 ^- d% C) k* r
厂商回复：
: p6 P! R* G5 P5 s$ O- O& S5 }1 b
CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
/ D% Q$ d$ o+ O- e0 B ' o% t" i0 K0 [( E/ ?3 ~
同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。8 ]- u# F7 {' }2 N& |
7 H# q) L! q0 n: h1 T5 U9 x
按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
1 Z. W- E9 ~& n0 Q5 T |
发表于 2012-12-4 22:29:23
收藏
支持
反对