U付用别人的银行卡与部分信息直接进行消费支付(凤凰金融实例演示)

漏洞概要

缺陷编号:WooYun-2015-0126313

漏洞标题:U付用别人的银行卡与部分信息直接进行消费支付(凤凰金融实例演示)

相关厂商:联动优势

漏洞作者:路人甲

提交时间:2015-07-21 10:23

公开时间:2015-07-26 10:24

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2015-07-21: 细节已通知厂商并且等待厂商处理中
2015-07-21: 厂商已查看当前漏洞内容,细节仅向厂商公开
2015-07-26: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

账户开通,绑定银行卡流程出现重大安全问题。

详细说明:

问题的再现,可以用这样的步骤解释:(1)准备一个新的手机号,没有开通凤凰金融的账户(2)事先知道别人的姓名、身份证号码、银行卡号(可以理解为盗用别人信息)(3)利用凤凰金融APP(安卓)客户端,用新手机号注册账户,注册成功后,根据流程,需要开通第三方托管账户和绑定银行卡。此时我全用盗用的别人的信息,姓名、身份证号码、银行卡号。(4)充值,快捷充值。居然成功了。这个过程,不需要别人的任何授权、不需要他的银行卡密码。总之,我新注册了一个账户,只是手机号是自己的,其他信息都是别人的,充值成功,扣了别人银行卡上的钱,别人什么都不知道。接下来,可以恶意操作(1)反复充值(2)充值、提现反复操作。

漏洞证明:

修复方案:

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-07-2610:24

厂商回复:

漏洞Rank:15 (WooYun评价)

最新状态:

2015-07-27:已经完成漏洞修补,商户接口正在迁移,我司具有业务层面风险控制措施,不会造成用户的资金损失,特此说明。
非常感谢您对我公司的关注和支持。

评价

  1. 2010-01-01 00:00 zzhyzyg 白帽子 | Rank:0 漏洞数:0)

    银行这么坑,我刚试了一遍,竟然成功了,其他的支付方式呢?

  2. 2010-01-01 00:00 zzhyzyg 白帽子 | Rank:0 漏洞数:0)

    又上交一边?什么意思?照样被忽略

  3. 2010-01-01 00:00 tSt 白帽子 | Rank:0 漏洞数:0)

    这样的问题竟然忽略?