漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0168602
漏洞标题：中国人民银行征信中心任意邮件伪造漏洞
相关厂商：中国人民银行征信中心
漏洞作者： 艺术家
提交时间：2016-01-11 12:43
修复时间：2016-01-16 12:44
公开时间：2016-01-16 12:44
漏洞类型：系统/服务运维配置不当
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-01-11： 细节已通知厂商并且等待厂商处理中
2016-01-16： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
任意邮件伪造，可以伪造中国人民银行征信中心发的邮箱给用户。
详细说明：
C:\Users\Administrator>nslookup -qt=txt pbccrc.org.cn
服务器: public1.114dns.com
Address: 114.114.114.114
pbccrc.org.cn
primary name server = ns1.sdc.org.cn
responsible mail addr = rdns.conac.cn
serial = 1449223061
refresh = 28800 (8 hours)
retry = 14400 (4 hours)
expire = 604800 (7 days)
default TTL = 28800 (8 hours)
缺少spf参数
SPF是跟DNS相关的一项技术，它的内容写在DNS的txt类型的记录里面。SPF的作用跟mx相反，它向收信者表明，哪些邮件服务器是经过某个域名认可会发送邮件的。
具体可以查看案例：
WooYun: 绿盟邮箱伪造漏洞
WooYun: 同程旅游网邮箱伪造漏洞
WooYun: 兴业基金管理有限公司邮箱伪造漏洞
介绍：
http://drops.wooyun.org/papers/534
漏洞证明：
修复方案：
版权声明：转载请注明来源 艺术家@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2016-01-16 12:44
厂商回复：
漏洞Rank：2 (WooYun评价)
最新状态：
暂无