转个冻结卡原因

天使男人 · 发表于 2015-1-30 17:23

漏洞概要关注数(67) 关注此漏洞 
缺陷编号：      WooYun-2014-86215 
漏洞标题：      交行业务流程审核逻辑不严导致可枚举任意信用卡cvv码   
相关厂商：      交行 
漏洞作者：      Taki 
提交时间：      2014-12-09 11:08 
公开时间：      2015-01-23 11:10 
漏洞类型：      设计缺陷/逻辑错误 
危害等级：      中 
自评Rank：      5 
漏洞状态：      已交由第三方厂商(cncert国家互联网应急中心)处理 
漏洞来源：      
Tags标签：      设计缺陷/边界绕过,安全风险 
 
漏洞详情 
 
披露状态： 
2014-12-09：    细节已通知厂商并且等待厂商处理中 
2014-12-14：    厂商已经确认，细节仅向厂商公开 
2014-12-24：    细节向核心白帽子及相关领域专家公开 
2015-01-03：    细节向普通白帽子公开 
2015-01-13：    细节向实习白帽子公开 
2015-01-23：    细节向公众公开 
 
简要描述： 
可通过在线银行枚举用户信用卡校验码(CVV)，而交行的验证码又很容易被程序识别 
 
详细说明： 
通过注册网银可以刺探用户是否开通网银（如果用户没注册，可以用于暴力破解查询密码）如果开通，可以通过重置密码服务的第2步要求输入信用卡有效期，校验码(cvv),身份证，验证码界面，输入任意信息后确认，在下—步的业务处理逻辑中由于会优先判断用户cvv码是否正确，导致即使其他信息错误，也会先提示cvv码错误。由于已知cvv码为3为数字，且用户不得更改，所以此业务逻辑可以用来刺探用户cvv信息。同时信用卡有效期为年月且—般为3-5年，所以在填写正确cvv后，同理也可枚举信用卡有效期。 
 
（中间省略） 
 
修复方案： 
可以优先判断身份证信息，然后判断有效期，最后判断cvv吗。 
版权声明：转载请注明来源 Taki@乌云 
 
漏洞回应 
 
厂商回应： 
危害等级：高 
漏洞Rank：14 
确认时间：2014-12-14 00:28 
 
厂商回复： 
CNVD确认并复现所述情况，已经转由CNCERT下发给上海分中心，由其后续协调网站管理单位处置 
 
最新状态： 
暂无 
 
漏洞评价： 
对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值 

本主题由 doudou87 于 2015-1-30 18:19 审核通过

Sad蝴碟 · 发表于 2015-1-30 20:28

什么东西l. 怎么看不明白

糟老头子 · 发表于 2015-1-30 20:48

反正没有我啊

lyby · 发表于 2015-1-30 20:53

什么东西l. 怎么看不明白

赚钱逍遥 · 发表于 2015-1-30 21:22

早就猜出是银行的问题，客服还对我说：我们发现您用卡有风险，免费给您换卡不收任何费用。我说本来就是你的责任你还想收我的钱？你应该赔偿我损失才对，不跟你要钱就不错了。

猪都说你笨 · 发表于 2015-1-30 21:26

这是前几天的新闻，原来和这个有关啊

小朱RR · 发表于 2015-1-30 21:29

难怪今天2张卡都被冻结了

zfcr999 · 发表于 2015-1-30 22:56

估计只有白麒麟给换了，其他的卡任其自生自灭。

68sucaicm · 发表于 2015-1-30 23:59

真是神—般的设计啊……

salarsxp · 发表于 2015-1-31 01:02

这nm太恐怖了吧

sinbgg · 发表于 2015-1-31 01:13

就是银行系统的不安全漏洞啊，已经公开了嘛

gmcc5566 · 发表于 2015-1-31 05:16

看不   明白

国人分销玲 · 发表于 2015-1-31 12:39

网申降了这次帐单还完冷冻

当垆卖酒 · 发表于 2015-1-31 13:25

交行系统被黑，部分**泄露，所以才有这么—波停卡换卡的事情

±2C · 发表于 2015-2-1 14:33

换个卡就不会被枚举了？

霏霏 · 发表于 2015-2-1 15:09

又被小娇遗忘了

[申卡] 转个冻结卡原因