漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-023385
漏洞标题：某某银行自助服务终端可绕过权限控制
相关厂商：中国农业银行
漏洞作者： 浮生
提交时间：2013-05-09 18:14
修复时间：2013-08-07 18:15
公开时间：2013-08-07 18:15
漏洞类型：权限控制绕过
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-05-09： 细节已通知厂商并且等待厂商处理中
2013-05-13： 厂商已经确认，细节仅向厂商公开
2013-05-16： 细节向第三方安全合作伙伴开放
2013-07-07： 细节向核心白帽子及相关领域专家公开
2013-07-17： 细节向普通白帽子公开
2013-07-27： 细节向实习白帽子公开
2013-08-07： 细节向公众公开
简要描述：
突破窗体限制，可能可以进行内网渗透，看到有人发，不过应该不是一样的
详细说明：
就是这个自助服务终端，可绕过窗体控制，进行内网渗透，方法很简单，长按，右键即可。。。
我去的时候好像有前辈进去过了，吓我一跳，
cmd是开着的，后来看看好像是银行内部做的网络测试。
此自助服务终端可进行转账等功能，一样需要输入密码，而且会在屏幕显示卡号，所以结合着网银测试机的利用，有可能记录用户的卡号，密码等信息，
在银行这个部门里，一丁点的失误都有可能被利用，希望可以重视
漏洞证明：
还是看图吧
修复方案：
对用户操作限制多一点，触屏软件不要长按右键等功能。
版权声明：转载请注明来源 浮生@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2013-05-13 22:27
厂商回复：
对于终端绕过类漏洞，CNVD后续不再复现，将直接转发给所述单位，该事件已经转由CNCERT直接发给中国农业银行信息化管理部门。
rank 5
最新状态：
暂无