漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-086215
漏洞标题：交通银行业务流程审核逻辑不严导致可枚举任意信用卡cvv码
相关厂商：交通银行
漏洞作者： Taki
提交时间：2014-12-09 11:08
修复时间：2015-01-23 11:10
公开时间：2015-01-23 11:10
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：5
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-09： 细节已通知厂商并且等待厂商处理中
2014-12-14： 厂商已经确认，细节仅向厂商公开
2014-12-24： 细节向核心白帽子及相关领域专家公开
2015-01-03： 细节向普通白帽子公开
2015-01-13： 细节向实习白帽子公开
2015-01-23： 细节向公众公开
简要描述：
可通过在线银行枚举用户信用卡校验码(CVV)，而交行的验证码又很容易被程序识别
详细说明：
通过注册网银可以刺探用户是否开通网银（如果用户没注册，可以用于暴力破解查询密码）如果开通，可以通过重置密码服务的第2步要求输入信用卡有效期，校验码(cvv),身份证，验证码界面，输入任意信息后确认，在下一步的业务处理逻辑中由于会优先判断用户cvv码是否正确，导致即使其他信息错误，也会先提示cvv码错误。由于已知cvv码为3为数字，且用户不得更改，所以此业务逻辑可以用来刺探用户cvv信息。同时信用卡有效期为年月且一般为3-5年，所以在填写正确cvv后，同理也可枚举信用卡有效期。
漏洞证明：
下列网址可以刺探用户是否开通网银（如果用户没注册，可以用于暴力破解查询密码）
此处16位数字为信用卡卡号，该测试卡号为随机卡号。
如果开通，可以通过下面网址重置密码
此处：
重置密码第2步要求输入信用卡有效期，校验码(cvv),身份证，验证码，任意输入信息后确认，在下一步的业务处理逻辑中，会优先判断用户cvv码，由于已知cvv码为3为数字，且用户不得更改，所以此业务逻辑可以用来刺探用户cvv信息。同时信用卡有效期为年月且一般为3-5年，所以在填写正确cvv后，同理也可枚举信用卡有效期。
交行的验证码又很容易被程序识别：
证明：
修复方案：
可以优先判断身份证信息，然后判断有效期，最后判断cvv吗。
版权声明：转载请注明来源 Taki@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：14
确认时间：2014-12-14 00:28
厂商回复：
CNVD确认并复现所述情况，已经转由CNCERT下发给上海分中心，由其后续协调网站管理单位处置
最新状态：
暂无