漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2012-09606
漏洞标题:自行注册用户可绕过柜台受理开通支付宝与财付通的快捷支付
相关厂商:支付宝
漏洞作者: 路人甲
提交时间:2012-07-13 14:24
修复时间:2012-08-27 14:24
公开时间:2012-08-27 14:24
漏洞类型:设计缺陷/逻辑错误
危害等级:高
自评Rank:10
漏洞状态:厂商已经确认
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2012-07-13: 细节已通知厂商并且等待厂商处理中
2012-07-16: 厂商已经确认,细节仅向厂商公开
2012-07-26: 细节向核心白帽子及相关领域专家公开
2012-08-05: 细节向普通白帽子公开
2012-08-15: 细节向实习白帽子公开
2012-08-27: 细节向公众公开
简要描述:
自行注册用户可绕过柜台受理开通支付宝与财付通的快捷支付,小额支付时仅需要验证手机短信。手机短信与账户无关。如此,将对资金安全产生威胁。
详细说明:
注册并登录中国邮政储蓄银行,点击申请开办->网上支付->签约加办,合同点同意。此时,假如没有在柜台开通网上支付业务,卡号是空的,只有一项“请选择”,但是,可以通过IE8或以上的 开发人员工具,对这个下拉选择列表的内容进行编辑,只在<option>中增加属性 value="卡号",其他按要求填写,这里请注意,手机可以任意填写,所以留下漏洞。填写完毕后点击提交,会要求输入支付密码,请正确输入,再提交,假如出现成功提交提示,即表示已成功操作。
漏洞证明:
修复方案:
贵方一定比我懂。
版权声明:转载请注明来源 路人甲@乌云
漏洞回应
厂商回应:
危害等级:低
漏洞Rank:3
确认时间:2012-07-16 10:53
厂商回复:
该问题为银行端业务流程控制问题,我们已经告之银行,支付宝端签约不存在此问题。整个支付链的安全需要大家一起维护,感谢您的问题。
最新状态:
暂无