建设银行任意取钱漏洞

admin

漏洞概要 关注数(233) 关注此漏洞
5 b9 V* J; v' W  ^2 m
. A9 f4 I" n- Z; g缺陷编号： WooYun-2012-15569
0 H4 m% N8 k3 O. V6 g. a$ @# R
) l+ ]  Z  X5 U$ s漏洞标题： 中国建设银行刷人民币漏洞
# c2 F& Q% @7 A$ Z0 ^
/ I1 {8 W0 t3 F- S& q" t) X7 ]相关厂商： 建设银行

漏洞作者： only_guest

3 |# j! r: L$ Y" ~( s! i提交时间： 2012-12-03
( k. o+ E1 X: \
" U- {6 i( _' C  h, t4 `9 Y$ c9 C! m漏洞类型： 设计缺陷/逻辑错误
8 I* j. S4 F- L+ _# C
危害等级： 高
5 v, v- T7 ^& v5 b) u
漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理

+ H- K% j4 t$ D5 {+ s5 h2 R8 M5 x漏洞来源： http://www.wooyun.org
: o* k9 f# G" Y8 N, ~
& d: x1 u  ~: fTags标签： 无


- b( T8 Q/ C, l1 a. K
20人收藏收藏
分享漏洞：
35

--------------------------------------------------------------------------------

$ G) \3 C0 i9 T7 G漏洞详情
1 X1 [) a, F; K1 }
披露状态：



/ ~1 Y6 @+ R: D2012-12-03： 细节已通知厂商并且等待厂商处理中
2012-12-04： 厂商已经确认，细节仅向厂商公开

9 [1 A: ^( a, }& R
简要描述：
, S. H- ?0 c' c4 v/ X& d0 v. P; L
0 P5 J# Q" }1 A1 G* Q6 R偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
1 M* T; N5 v) x( G 测试用的.你们收回去就是了.我是良民.

# S9 X) E3 P0 K* x漏洞hash：47b3d87350e20095c8f314b7b6405711

" J! a$ J8 g" ^  r: }& L3 P$ Y6 ^3 F版权声明：转载请注明来源 only_guest@乌云

--------------------------------------------------------------------------------

漏洞回应

2 ]4 }; Q, o# L* A# `厂商回应：
' u* o5 ]' T7 y/ t2 R; G3 ]
6 @% g' j7 Y. F1 U危害等级：高

漏洞Rank：12
( [$ J' l9 T' [" W% K
确认时间：2012-12-04

5 m+ T$ N% B& @' h厂商回复：

0 p# g* X5 l) a$ w. ^8 e" sCNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
6 F, G. C% D1 M5 l- `
% L$ p% @3 V* C! v/ h& |* P同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
6 F* m! s* t) J1 v
按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
4 h5 m( ~5 C) V) n  r: ^