建设银行任意取钱漏洞

admin

漏洞概要 关注数(233) 关注此漏洞

3 d' t" t5 Z; C缺陷编号： WooYun-2012-15569

: F& w/ J4 P# F" b) ]漏洞标题： 中国建设银行刷人民币漏洞

相关厂商： 建设银行

漏洞作者： only_guest

提交时间： 2012-12-03

, Y. }5 X( e* h& x漏洞类型： 设计缺陷/逻辑错误
; g8 ]( w  V/ l- I) p$ x
2 |( l" W8 c* p* o, H. `5 f6 S危害等级： 高
. B2 o3 M- Y# s" C
- I5 {' x! ^( n漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理
3 g5 J0 G* b1 F& r. }$ ^
$ [3 Y. \. z( K2 r4 p" d+ ~, W漏洞来源： http://www.wooyun.org

" v( X6 u$ s# r6 ATags标签： 无
' C& @- g+ a5 X' c& g
  j4 e) {# Y, C
; X  x* s7 m' \$ M
20人收藏收藏
$ V* L8 V/ F' H- f/ {4 _; `分享漏洞：
35

--------------------------------------------------------------------------------

" N5 a1 {4 _( V+ A3 W漏洞详情
. {) H( f5 F4 @' B8 a
; _) E& |  a; K& J: o$ f披露状态：
" u0 |8 m8 ?) B

1 q8 k4 M6 Y$ R! y! n8 Z
4 d! ]7 b+ Y. }0 ~$ w+ @. D2012-12-03： 细节已通知厂商并且等待厂商处理中
4 H' I5 H: c/ J7 q6 s! W2012-12-04： 厂商已经确认，细节仅向厂商公开


简要描述：
! E: w! k4 y/ g* E
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
测试用的.你们收回去就是了.我是良民.
( r) f! w! T# q  S/ L6 w9 n
/ N( Y. s& u  q, r& m8 K漏洞hash：47b3d87350e20095c8f314b7b6405711

; u" N, S3 \: D* \7 I4 e9 K版权声明：转载请注明来源 only_guest@乌云
4 y3 h& h( @1 S! w! ]
/ f) ?" z0 e- ^, `# Y--------------------------------------------------------------------------------
* H. C+ v- J8 p- e
漏洞回应

3 S" G2 t7 E0 U6 m* Z# n厂商回应：
" u: d' B5 h- w$ g
! n9 A4 g$ c0 c, X危害等级：高

漏洞Rank：12

: Z% w* A8 P& e9 @$ d  g4 M" K" Q6 l确认时间：2012-12-04

厂商回复：
$ _9 ]* F5 ~. n7 l8 O6 O1 j
" `4 X0 S) D1 `) ]# HCNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。

# ~3 W& |# M% s) z% M( v3 @同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
6 n9 x( h/ n; U0 ~6 v
: ]( n$ G- Y% d3 u按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00