漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-093947
漏洞标题：邮政储蓄银行手机版某用户账户未授权访问（部分帐号可登录并查询余额）
相关厂商：中国邮政集团公司信息技术局
漏洞作者： 木马人
提交时间：2015-01-26 00:04
修复时间：2015-03-12 00:06
公开时间：2015-03-12 00:06
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-01-26： 细节已通知厂商并且等待厂商处理中
2015-01-26： 厂商已经确认，细节仅向厂商公开
2015-02-05： 细节向核心白帽子及相关领域专家公开
2015-02-15： 细节向普通白帽子公开
2015-02-25： 细节向实习白帽子公开
2015-03-12： 细节向公众公开
简要描述：
邮政储蓄银行手机版某用户账户未授权访问（部分帐号可登录并查询余额）
详细说明：
邮政储蓄银行手机版某用户账户未授权访问，
不经意间在bing上搜索了一下，竟然发现了几个不寻常的网址，
点击进去竟然如此；
手机号，密码，验证码都是写好的；
后来发现不需要密码，验证码也可以登录，
登录信息如下：
为何如此。。。。
感觉应该是2011年时候的测试留下的。
风险未知，不知道该账户是否为有效账户。
假如是有效账户的话，能够转账什么的就十分危险了。
漏洞证明：
邮政储蓄银行手机版某用户账户未授权访问，
不经意间在bing上搜索了一下，竟然发现了几个不寻常的网址，
点击进去竟然如此；
手机号，密码，验证码都是写好的；
后来发现不需要密码，验证码也可以登录，
登录信息如下：
为何如此。。。。
感觉应该是2011年时候的测试留下的。
修复方案：
风险未知，不知道该账户是否为有效账户。
感觉像是测试的时候留下的。或者........
版权声明：转载请注明来源 木马人@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2015-01-26 08:49
厂商回复：
谢谢
最新状态：
暂无