漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0183853
漏洞标题：伪基站发来招商钓鱼网站利用XSS打入后台大量银行卡信息泄露
相关厂商：招商银行
漏洞作者： 戴帽子
提交时间：2016-03-12 19:23
修复时间：2016-04-28 16:01
公开时间：2016-04-28 16:01
漏洞类型：内部绝密信息泄漏
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-03-12： 细节已通知厂商并且等待厂商处理中
2016-03-14： 厂商已经确认，细节仅向厂商公开
2016-03-24： 细节向核心白帽子及相关领域专家公开
2016-04-03： 细节向普通白帽子公开
2016-04-13： 细节向实习白帽子公开
2016-04-28： 细节向公众公开
简要描述：
收到招商银行发来的钓鱼信息，闲着没事打开看看，发现填写资料处可XSS。你懂的！
详细说明：
招商钓鱼网，收集银行卡信息，非法盗用他人的银行卡，转走他人银行卡资金！
漏洞证明：
http://wap.cndidk.com/login.asp?id=3 XSS注入的地方
http://wap.cndidk.com/cdmin 网址后台
首先修改输入框的表单数字限制
我们插入XSS代码拿下后台的COOKIE，实现方法（自己的服务器避免被攻击，打马了）：
等待数秒后我的服务器已经记录下了COOKIE，至此入侵后台就进行到一半了
OK，我们打开后台http://wap.cndidk.com/cdmin，发现需要验证
我寻思了半天，最终确认方案利用XSS+WWW-Authenticate认证的方式钓对方的密码，实现方法（自己的服务器避免被攻击，打马了）：
刷新服务器TXT文本，得到账户密码，哈哈，上钩了
打开后台登陆页面
修改COOKIE成功进入了后台
大量的银行卡信息让我目瞪口呆
我随便登录一个，里面就有7万，如果钱款落到不法分子手里，那么受害者将损失一大笔财产
为此我当机立下删除他们所有信息，哈哈别怪我，是你们太坏了！
End
至此，入侵后台告落一段，我随即查询他们的域名，反查后得到注册人邮件，查到这个人注册了115个域名，并且我发现一个域名对应一个服务器，一天注册大概在3-6个域名，可以看出是有多么大的犯罪团体，我随便看了几个他们盗取的资料，都是好几万，如果他们一天都在运行，那么一天涉及到的资金多达数万，一个月涉及百万元或许不止，希望有关部门可以尽快找到犯罪分子！
3月11日的域名我全部攻击了，已经打不开，文章中所述的域名是我攻击他们后注册的新域名，你们可以按照他们的注册习惯找到最新的域名！
他们已经修改服务器密码，也发现我钓他们的密码，现在这个方法不管用了，乌云如果有大神，可以尝试一下！
修复方案：
加强对钓鱼网站的监控，建议国家GW防火墙对钓鱼网站的关键字进行过滤。
版权声明：转载请注明来源 戴帽子@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：3
确认时间：2016-03-14 16:01
厂商回复：
感谢您对招商银行的关注！
最新状态：
暂无