漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0119694
漏洞标题：金融小能手之邮政储蓄银行(可看到他人流水详情)
相关厂商：中国邮政储蓄银行
漏洞作者： 咚咚呛
提交时间：2015-06-11 08:15
修复时间：2015-06-16 08:16
公开时间：2015-06-16 08:16
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：15
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-11： 细节已通知厂商并且等待厂商处理中
2015-06-16： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
简单说就是：你做啥交易我都能看！
详细说明：
好吧，上面描述纯属骗回复，且勿当真！
1、无限跑交易数据
通过跑网易流水号(共10位数字，且是递增有规律可寻，无需全跑)，可以得到各种交易详情，涉及各种敏感信息。
比如链接：
https://pbank.psbc.com/pweb/TransJnlQry.do?JnlNo=8652739364&TransCode=PersonSmsSetting&JnlState=0&TransCodes=&JnlStates=&StartAmounts=&EndAmounts=&BeginDates=2015-05-11&EndDates=2015-06-11&AcNos=¤tIndex=0&recordNumber=12&&TransTime=Thu+Jun+11+00%3A42%3A09+GMT%2B08%3A00+2015
参数：JnlNo
参数JnlNo为流水单参数，此参数可以遍历，并查询交易详情，涉及用户账户、姓名金额等信息，首先此测试账户网银流水单一共12条，如图：
通过此链接跑流水号后3位，可以跑出很多数据，且包含详情，涉及敏感信息如图：
漏洞证明：
详情看上面吧。
真心话储蓄的洞是真难挖，从钓鱼站中脱出来N个账户来对比着做，才挖出来3个洞，另2个没啥意思就不说了，安全做的真心没话说！
修复方案：
建议对流水单详情查看做下权限判断，防止跑数据脱裤的出现。
版权声明：转载请注明来源 咚咚呛@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-06-16 08:16
厂商回复：
漏洞Rank：15 (WooYun评价)
最新状态：
暂无