[公开漏洞]建设银行某会员系统任意帐号登入漏洞

建设银行某会员系统任意帐号登入漏洞 相关厂商： 建设银行 漏洞作者：假马 提交时间：2014-04-29 10:37 公开时间：2014-06-13 10:37 漏洞类型：设计缺陷/逻辑错误 危害等级：高 自评Rank：20 漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理 漏洞来源：http://www.wooyun.org Tags标签： 无 漏洞详情 披露状态：

2014-04-29：细节已通知厂商并且等待厂商处理中
2014-05-04：厂商已经确认，细节仅向厂商公开
2014-05-14：细节向核心白帽子及相关领域专家公开
2014-05-24：细节向普通白帽子公开
2014-06-03：细节向实习白帽子公开
2014-06-13：细节向公众公开

简要描述：

求不查水表！

详细说明：

其实就是修改密码了。

怕标题被大牛一眼就秒。出了问题查我水表！

还是委婉点。。。。



正常找回

红点处为帐号名。

本来看到下面一串的检测信息。包括验证码，手机号。都要失望了！



到这里还是继续试试。



改个帐号为wooyun的。

好吧。。修改成功了！！！！！结果证明验证处纯属忽悠！！！

漏洞证明：

测试这帐号需要绑定手机号才能用，我就随便绑定了个！

改完之后的东西没敢试。胆子小！！

有个论坛。。。。如果是改admin之类的。。。。估计秒进后台。。接下来的事对大牛来说就有很多想像空间了！

修复方案：

既然改密码的时候都放了验证数据了，为什么就不做验证了呢！！！！

版权声明：转载请注明来源 假马@乌云 漏洞回应 厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-05-04 08:51

厂商回复：

CNVD确认所述情况，该系统非网银系统，而是某在线电子商务系统，已经在当天转由CNCERT直接通报给网站管理单位信息化部门，对方反馈已经着手在修复。

最新状态：

暂无