民生银行某交易可能导致用户资金被盗

漏洞概要

缺陷编号:WooYun-2015-0128199

漏洞标题:民生银行某交易可能导致用户资金被盗

相关厂商:中国民生银行

漏洞作者:路人甲

提交时间:2015-07-21 22:22

公开时间:2015-07-23 10:07

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:18

漏洞状态:厂商已经修复

Tags标签:

漏洞详情

披露状态:

2015-07-21: 细节已通知厂商并且等待厂商处理中
2015-07-22: 厂商已经确认,细节仅向厂商公开
2015-07-23: 厂商已经修复漏洞并主动公开,细节向公众公开

简要描述:

交易漏洞导致绕过控制手段,可消费任意用户资金

详细说明:

民生的网银存在如下功能,在京东、亚马逊等平台进行B2C支付的时候,可通过网银进行支付,选择后出现左侧扫一扫功能

登陆民生手机银行扫描后,输入手机验证码即可完成支付。如下图

在点击获取验证码后,通过软件截取交互,可发现修改在response中的手机号,就直接把验证码发到任意手机上了。。。

至于为什么不是修改request也是很神奇。。。另外可以看到response中包含全量的客户信息,后面各种家庭住址,单位、电话。。简直大曝光。。。。在用户名密码库这么多的今天,撞出几个银行账号不是什么难事,利用上面的漏洞直接就可B2C消费了,比最近热炒的中移动短信保管箱的影响还大。。。另外扣款卡号能不能改没有验证。。。如果同样没验证。。。岂不是随便扣钱了。。

漏洞证明:

成功将短信发给朋友的手机,并下单完成了交易。

修复方案:

数据不要使用客户端回传的数据不要使用客户端回传的数据不要使用客户端回传的重要的事情说三遍

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:5

确认时间:2015-07-2217:12

厂商回复:

感谢对民生银行手机银行的支持,非常感谢!

最新状态:

2015-07-23:漏洞已经修复,非常感谢对民生银行的支持。

评价

  1. 2010-01-01 00:00 prolog 白帽子 | Rank:518 漏洞数:59)

    5分。。。

  2. 2010-01-01 00:00 有归于无 白帽子 | Rank:49 漏洞数:5)

    这个才5分?呵呵

  3. 2010-01-01 00:00 xiaokinghk 白帽子 | Rank:82 漏洞数:15)

    5分。。。腻害了

  4. 2010-01-01 00:00 向量点乘法 白帽子 | Rank:0 漏洞数:0)

    是啊。。。厂商太不给力了。。

  5. 2010-01-01 00:00 Budi 白帽子 | Rank:61 漏洞数:4)

    才5分。。。。无语。。。

  6. 2010-01-01 00:00 shallwe 白帽子 | Rank:0 漏洞数:0)

    5分。。。。这个。。。。太小气了吧。。

  7. 2010-01-01 00:00 我叫金挖挖 白帽子 | Rank:10 漏洞数:2)

    这才5分。。。。

  8. 2010-01-01 00:00 page404 白帽子 | Rank:0 漏洞数:0)

    主要是用的朋友的手机。。。。