建设银行任意取钱漏洞

admin

漏洞概要 关注数(233) 关注此漏洞
- A; E; _* g5 O) b4 y( w
- ?0 d' e% d9 x5 G+ \缺陷编号： WooYun-2012-15569
% L+ I# _- ?6 N8 P% p% r
4 J# [0 ?* p& t4 {7 e' h) E漏洞标题： 中国建设银行刷人民币漏洞
/ a+ g- O* b: n) s3 f; d, \9 H# f
相关厂商： 建设银行

漏洞作者： only_guest
$ Q* n" S% k) D
% S" V- Q. E$ k( L/ I" r提交时间： 2012-12-03

漏洞类型： 设计缺陷/逻辑错误

危害等级： 高
) ^7 W4 O0 q' T9 V" Y
漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org

Tags标签： 无
' K$ {) K; ~/ v! C8 g0 `5 R/ C; X' F
; B, G/ i9 g  w# v* I! l* K+ E4 t
$ l! p: }! C6 ~
3 |4 f: W& c2 q9 W20人收藏收藏
1 t( m* Z3 ^4 i$ b分享漏洞：
35
! Q1 F* A6 b3 e2 W
--------------------------------------------------------------------------------
, z* A5 p9 e: j$ x: \) I8 Y
漏洞详情

披露状态：


# `' d9 Q8 N: D0 c, {, u& Y4 \
1 ]. c3 D) _( z) w( u  {3 X# M2012-12-03： 细节已通知厂商并且等待厂商处理中
% P* n  N! \- V1 P2012-12-04： 厂商已经确认，细节仅向厂商公开
( \2 C5 O/ V" R& S
" n5 T7 K' ~* a; }$ c% ~# Y
3 `% u  a9 d6 o' R! f; b简要描述：
% S$ `7 h4 I5 P7 z" x
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
测试用的.你们收回去就是了.我是良民.
1 X/ @# U& a# g( l) c  a8 |* Z5 G
8 p1 K4 F3 ?7 p5 D$ N漏洞hash：47b3d87350e20095c8f314b7b6405711

版权声明：转载请注明来源 only_guest@乌云
' p7 d+ S1 D/ P$ o. g" R
--------------------------------------------------------------------------------

漏洞回应

8 |' }3 m, [' a$ U厂商回应：

危害等级：高
# u( t" C: `9 O5 G
漏洞Rank：12

' w8 W$ y3 m- J4 a确认时间：2012-12-04

厂商回复：
% e2 v9 n" S8 K* F+ ~; ]
CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
4 Q' F* T' |  o
& F! r) Q4 P6 D" }- p同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。

按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00