找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2210|回复: 0
打印 上一主题 下一主题

建设银行任意取钱漏洞

[复制链接]
跳转到指定楼层
楼主
发表于 2012-12-4 22:29:23 | 只看该作者 回帖奖励 |正序浏览 |阅读模式
漏洞概要 关注数(233) 关注此漏洞
: J: [+ ?2 v7 i/ B/ X% G3 ]& s/ m- {5 V
缺陷编号: WooYun-2012-15569# J2 c5 a. \; N3 H
% P8 s$ ?. J6 n. _! _" B0 C
漏洞标题: 中国建设银行刷人民币漏洞 & F9 M$ j9 _( `. W
6 z. B4 [2 ]! E$ E: m
相关厂商: 建设银行8 G7 |0 {3 U0 {) a

% j& X5 T8 X( k% o4 X# b漏洞作者: only_guest" _7 C; P( _7 p- b; [, z
' v" a+ ?3 d4 Z9 u* K  ^' [8 Q
提交时间: 2012-12-03
" I2 E, R+ T* _
$ G8 c# Y6 {& o漏洞类型: 设计缺陷/逻辑错误" u- t% T( O, A  S  s

. k+ \: m/ |2 k& V) O. _危害等级: 高) P! D; Q2 H8 q7 l1 f
" l/ z. `5 s/ o$ G* J
漏洞状态: 已交由第三方厂商(cncert国家互联网应急中心)处理
' @1 @2 f' g# Q! b- l( K, d: N4 I0 K8 C
漏洞来源: http://www.wooyun.org
) l8 ]# B) F* |& R
( n# S6 e0 a  t! w6 l/ ?0 g. B! ?Tags标签: 无
  _  H- o1 n* z! t$ U2 I4 K$ L' l% x8 k& c4 H% M
) b. j6 H2 _) d$ ?' l7 x

- F: [% s0 _. ?9 m- \3 h9 q, |! y1 q- S20人收藏收藏
- A% Z& s0 r; ^; Y分享漏洞:+ T# {' l( U& [/ B) w* I7 q( F+ }  q- C
35, `2 H) S9 t, o( _0 s

- }+ `  u. t) a# m# z) {$ H--------------------------------------------------------------------------------/ Q+ J& D* n# c; s8 |, d) l9 P) ^

4 B( p2 m% Q& m+ H0 |) y漏洞详情
/ k0 D7 Q2 d; W
  O! W" U/ j& O/ N& I# I! ]. [披露状态:
0 }7 N( C! e* ]& L& ?  C: R; _" U/ d) E- F8 D4 \6 V! G

& `9 ]. N  h4 ?% f0 Q9 _. N% h! c4 T" w! W5 [: L
2012-12-03: 细节已通知厂商并且等待厂商处理中6 W0 O4 L$ t' N# y* f  j5 n
2012-12-04: 厂商已经确认,细节仅向厂商公开
$ J6 ^# s# r0 f
! p1 {+ C9 ~2 N$ I3 {! V! o# }9 X
5 t" @( W( C9 i9 ~9 e8 J简要描述:
( e$ A* N! y$ ~& ^$ Y% ~; ~/ B: n- Y$ _/ e) e
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
! E" @% T5 P% I  ] 测试用的.你们收回去就是了.我是良民.0 l+ q; r/ y1 a5 E5 @: w

. ^" s0 @) j  p" e4 K+ q' N: z! [漏洞hash:47b3d87350e20095c8f314b7b6405711
1 }9 J5 w/ |5 G/ V. i
8 x/ v, M) p) s7 M  ]/ h! D7 m版权声明:转载请注明来源 only_guest@乌云0 \( A5 [* }; ^
+ d$ U& W5 X7 _! c
--------------------------------------------------------------------------------
. W& o! p, Y% t/ V
& f3 I, c9 ?' |) I漏洞回应! k( w, g) Q, m
+ b7 y4 r; `/ H5 K
厂商回应:
  {* H* P: C% L! x6 |
$ k9 u. j+ h5 M# j危害等级:高
6 f2 @4 A: p; S! c5 B0 D: ^# L9 k7 Z2 F: X9 }# _# R$ a
漏洞Rank:12
7 h$ q9 O5 d. t4 V
$ B9 ^% |6 z; G0 t5 I确认时间:2012-12-04# l, l3 L0 T! b5 R8 c

* G. G3 s. q- t! @2 B0 d. t% U厂商回复:
' ]1 c: p8 E# M; d7 Z
4 R$ u, u/ w3 W4 QCNVD确认漏洞情况,已经转由CNCERT在4日联系建设银行处置,待后续处置反馈。
( V4 v( u! W6 x3 q- Q$ n, b
2 }( K- a9 U% E1 w4 P) J$ E' B同时,近期此类订单篡改(或支付篡改)漏洞在一些网上商城或支付网站频发,对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
+ v; E! _* T% |' z, G
" o: z0 ^+ ^7 f  U按部分影响完整性、可用性进行评分,基本危害评分6.42(中危),发现技术难度系数1.1,涉及行业或单位影响系数1.7,综合rank=12.007 i; R: H- p  r- o7 s2 a
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表