漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-042061
漏洞标题：一个命令执行漏洞引发的某省一卡通超大血案
相关厂商：山东一卡通
漏洞作者： zkz
提交时间：2013-11-05 14:37
修复时间：2013-12-20 14:37
公开时间：2013-12-20 14:37
漏洞类型：系统/服务补丁不及时
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-11-05： 细节已通知厂商并且等待厂商处理中
2013-11-09： 厂商已经确认，细节仅向厂商公开
2013-11-19： 细节向核心白帽子及相关领域专家公开
2013-11-29： 细节向普通白帽子公开
2013-12-09： 细节向实习白帽子公开
2013-12-20： 细节向公众公开
简要描述：
山东一卡通某分站存在命令执行漏洞，导致大量卡号泄露，当然数据库也不保了。求礼物求奖金。
详细说明：
先来看看山东一卡通的用途吧！
山东鲁商一卡通支付有限公司隶属于山东省商业集团总公司，承担着山东城市一卡通项目的投资、建 设与运营，包括系统工程的规划、运行、管理以及山东一卡通卡片的制作、发售、充值、回收和集中清算。
山东鲁商一卡通支付有限公司是目前省内首家获中国人民银行批准的第三方支付牌照的企业，获准开展预付卡发行与受理。卡业务范围覆盖全省十七地市，已成为省内应用最广泛的便民支付卡。
山东一卡通卡可在公交、出租、公众旅游、公用事业缴费、餐饮娱乐、购物、加油、社区、便民服务等领域刷卡应用；在传统商户刷卡支付基础上，公司还积极探索一卡通在新兴行业的多种业务模式。
山东鲁商一卡通支付有限公司，还积极开展网络支付及电子商务业务，现已推出网上购卡、信用卡还款、手机充值、游戏点卡购买业务，后期还将陆续推出银行卡转账、缴水费、缴电费、缴燃气费、缴有线电视费等业务。
外加某些商城都有此平台接口，后果可想而知。说轻点可以拿着卡号去网上购物消费，说重点呢就是可以拿着这些一卡通在山东省整个地区吃喝玩乐和购物消费，也可以倒卖。具体也就不说什么了！虽然漏洞是常见漏洞，但是引发的危害是不容小视的，这个你比谁都懂。我不知道我求点礼物或奖金有没有问题，嘿嘿。
漏洞证明：
修复方案：
升级
版权声明：转载请注明来源 zkz@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：7
确认时间：2013-11-09 19:37
厂商回复：
最新状态：
暂无