找回密码
 立即注册
查看: 3204|回复: 0
打印 上一主题 下一主题

建设银行任意取钱漏洞

[复制链接]
跳转到指定楼层
楼主
发表于 2012-12-4 22:29:23 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
漏洞概要 关注数(233) 关注此漏洞
8 o' o% v/ }: a6 `( A5 h4 L. O8 T
4 w4 J/ S" `+ u+ D; u$ E) b. f2 y缺陷编号: WooYun-2012-15569* w' d; z3 ]  L5 c
2 U5 d. T+ r" i9 R; @8 a3 g% F9 G
漏洞标题: 中国建设银行刷人民币漏洞
- J- n. x; {4 v8 l1 x# r4 |  }
  y+ q1 \* D5 r. F) }% V  L8 l/ R3 }相关厂商: 建设银行
& n$ H& w5 A, |# w% O- @2 R) K" F& K" n8 |. p  F1 g
漏洞作者: only_guest0 o: l2 L8 m$ h/ W5 G
( w7 h# A  H6 T0 S, a! |; Y
提交时间: 2012-12-03
( a' |# v6 v8 T# [
- B/ T1 ^' K7 a; b3 X6 K" Z: j漏洞类型: 设计缺陷/逻辑错误
9 F4 Q$ G0 K* T/ B& {( }6 t( Q
) T9 y1 k% |$ A8 D% E危害等级: 高
6 V: B1 o) o3 ?$ e8 z& U. a2 P" n8 A+ o  l. ?; A: X8 K/ W
漏洞状态: 已交由第三方厂商(cncert国家互联网应急中心)处理 " A2 k3 ]2 _% J8 g" T) m3 U

1 Q2 |  X( S- r' X: H漏洞来源: http://www.wooyun.org, d" x* b- D( F) w0 Y

5 ]6 u! R0 z( O7 h4 W* qTags标签: 无 1 a4 K! }7 M8 B. g& }
$ F4 Z$ I  I3 J

) V: v, X. ]. R! \( k7 e* G( W, ]. n6 U7 A6 k
20人收藏收藏 6 D' v( S6 ]7 l' p1 M
分享漏洞:
. s. a, ?. i, W. g35
0 J; Q: Q! i- ^9 o4 X
2 i+ z3 d: B- u: G$ M--------------------------------------------------------------------------------+ e7 t4 C2 L  \2 e
3 s/ I( l- V' ^: T3 C
漏洞详情; B9 s* Q  B2 _, S; F9 p, A* ?

/ E! p( ^8 Y7 r  ]披露状态:
* N! R7 Z3 u6 _! R. N% T4 g
$ |  R( k, J" r& J0 D
* ^4 u1 W# f; a/ J
* _& U7 l; H, W2012-12-03: 细节已通知厂商并且等待厂商处理中* v# ~, z$ F- q! C" f! M2 e5 L
2012-12-04: 厂商已经确认,细节仅向厂商公开0 p7 m" y* I. s) e5 _4 P+ Y
% [$ N' U* b8 a  K, w  A* H

: [/ u2 U9 `, ?7 \# c% v简要描述:! x( v, d$ h/ y9 ^) ]
' u4 _9 M, g. v# ?" |
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...5 P$ t4 h# Q, z( y3 n
测试用的.你们收回去就是了.我是良民.
8 |  V, T3 b) l4 B% _" `$ H9 a+ _2 ]0 T( B
漏洞hash:47b3d87350e20095c8f314b7b6405711
3 g) z6 O( ?* v" ?% C& M
  j! |0 S- b$ T7 h1 b6 H版权声明:转载请注明来源 only_guest@乌云: n' h) _+ h' X" ?
% z3 T, \3 z! ?& I
--------------------------------------------------------------------------------3 {5 B+ b+ @1 K% z

9 k+ ]4 P2 {, r8 p2 f" `/ c漏洞回应
$ H9 j; i6 }8 m3 v' o9 G
0 |/ Z& ]3 k2 }! g& j厂商回应:
7 F  v3 X  T8 Y9 _3 ?7 P) ]# |2 @! `% u2 d: g! g
危害等级:高0 ?# c9 B3 B" F% E6 X$ X

# d* \  m! ]( ?2 j漏洞Rank:12 ; @8 ^+ q! n& i- h8 K: j& x0 m4 K

% R. _; i: i4 X' S0 `确认时间:2012-12-04
, {! k9 R' n/ U: a+ y  N3 C( ?4 t6 \, B2 y, U& s: G- W8 y
厂商回复:: f8 T2 l0 m; o4 i; b8 A

4 t* }( C: C" QCNVD确认漏洞情况,已经转由CNCERT在4日联系建设银行处置,待后续处置反馈。
. R  [8 @9 {' N. m# ^; O0 f: J" b 9 L$ [2 F$ X3 \
同时,近期此类订单篡改(或支付篡改)漏洞在一些网上商城或支付网站频发,对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
  ^' a4 Q. i3 a! {   b  y9 @: ^1 u" u) z
按部分影响完整性、可用性进行评分,基本危害评分6.42(中危),发现技术难度系数1.1,涉及行业或单位影响系数1.7,综合rank=12.00! e3 m) e% W- X- ~
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表