漏洞概要
关注数(24)
关注此漏洞
漏洞标题:P2P金融安全之徽商银行直销银行任意账户登录
提交时间:2016-03-20 18:20
修复时间:2016-05-07 17:08
公开时间:2016-05-07 17:08
漏洞类型:设计缺陷/逻辑错误
危害等级:高
自评Rank:20
漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理
Tags标签:
无
漏洞详情
披露状态:
2016-03-20: 细节已通知厂商并且等待厂商处理中
2016-03-23: 厂商已经确认,细节仅向厂商公开
2016-04-02: 细节向核心白帽子及相关领域专家公开
2016-04-12: 细节向普通白帽子公开
2016-04-22: 细节向实习白帽子公开
2016-05-07: 细节向公众公开
简要描述:
徽商银行直销银行-徽常有财,一种新型的银行运作模式,在我国直销银行中排名可挤如前10,此次风险影响徽商直销银行的所有账户。
------请认准金融小能手
详细说明:
此风险漏洞在密码找回功能中,漏洞利用步骤如下:
1、首先正常操作密码找回功能,可知其流程如下,
填写手机号
填写短信验证码
填写新密码,风险出在此处,在填写正确密码
确认后进行抓包可知如下,
通过分析可知,修改CUSTNO的值可针对相应用户进行密码篡改,但如何知道CUSTNO所指向的是那个用户呢,在用户注册即密码找回功能中有个数据包如下,
通过修改指定的手机号吗即可获取相应的CUSTNO,进而对指定的手机号进行密码篡改,达到指定攻击的目的。
此风险可利用为两层
1、遍历CUSTNO号码进行直销行所有账户密码篡改
2、通过获取指定手机号的CUSTNO值,完成对指定手机号的密码篡改。
漏洞证明:
修复方案:
建议短信验证及最后的密码修改上做同一验证,防止绕过
版权声明:转载请注明来源 咚咚呛@乌云
漏洞回应
厂商回应:
危害等级:中
漏洞Rank:8
确认时间:2016-03-23 17:08
厂商回复:
CNVD未复现所述情况,已经转由CNCERT向银行业信息化主管部门通报,并抄报安徽分中心协助处置,由其后续协调网站管理单位处置.
最新状态:
暂无