建设银行任意取钱漏洞

admin

漏洞概要 关注数(233) 关注此漏洞

缺陷编号： WooYun-2012-15569

9 E/ v2 j. t5 {" V. m6 ?漏洞标题： 中国建设银行刷人民币漏洞

$ f- G/ y( C2 y5 ^# o相关厂商： 建设银行

3 v9 X; k$ Z$ ~漏洞作者： only_guest
$ H- E3 u, A/ @6 y+ H3 L" p
提交时间： 2012-12-03
3 _3 T3 k  t) X& [* l8 Y
. u# Z- \: M; V& Q漏洞类型： 设计缺陷/逻辑错误
. l% x" J+ k4 a- H* t0 W! J* x
危害等级： 高

漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org
3 ~) F* m& d! J; ]6 u
0 W  W- n8 S% ~* A( }Tags标签： 无
# ]( q9 e) f. l. J
5 [2 A" f. {/ _9 Z5 Q, P$ N

9 ~) y2 W) C: h- [! \3 ^* O20人收藏收藏
分享漏洞：
35

+ r7 ~' q& s. \5 `$ q  K--------------------------------------------------------------------------------

漏洞详情
( d- K4 p/ n3 `; ?7 `
披露状态：


) y! o% n+ Y" \- Q1 w5 I+ d
2012-12-03： 细节已通知厂商并且等待厂商处理中
; k2 T3 R2 O4 O- G/ Z2 ], o2012-12-04： 厂商已经确认，细节仅向厂商公开
) X! y+ O. d, S+ E

) t0 g6 G7 r# Z简要描述：
- q' x" h( X" B7 N
3 H  I" Y7 N7 B; t+ R; N; |9 n偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
测试用的.你们收回去就是了.我是良民.
* A* e1 {* L8 R2 \% o
2 O! s  G+ K% _' h0 }* _3 C$ \漏洞hash：47b3d87350e20095c8f314b7b6405711
( o, X- z# t# G" T) }& w6 T3 p
& n, o& O7 A" i2 p+ L版权声明：转载请注明来源 only_guest@乌云
- e% ~! \: \9 M  E- D- f
, U; d. f: ?0 h  C2 T--------------------------------------------------------------------------------

漏洞回应

7 c- t; y- C4 ~  E2 I' h" G: j厂商回应：
) c7 I4 N* x5 G2 l# K  J2 F! p6 y
. C* S0 _) \% H% n危害等级：高

5 G) f2 X# r1 |4 X; r/ d漏洞Rank：12

+ U, V3 l: T) H2 t) m确认时间：2012-12-04

厂商回复：
9 _6 U8 t- x% ]$ m3 o  G
' T$ t# U  B5 PCNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
0 m" w# V: @" a
) I: v3 I  r! C( v  `1 R& W同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
, h3 f. ]% x$ a/ B1 J, [* M
按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00