漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-04626
漏洞标题：中国农业银行电子银行体验机终端权限绕过
相关厂商：中国农业银行
漏洞作者： Lee
提交时间：2012-02-18 21:54
修复时间：2012-04-03 21:55
公开时间：2012-04-03 21:55
漏洞类型：设计缺陷
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-02-18： 细节已通知厂商并且等待厂商处理中
2012-02-20： 厂商已经确认，细节仅向厂商公开
2012-03-01： 细节向核心白帽子及相关领域专家公开
2012-03-11： 细节向普通白帽子公开
2012-03-21： 细节向实习白帽子公开
2012-04-03： 细节向公众公开
简要描述：
概述：
中国农业银行电子银行体验机是基于windows xp平台下的一个触摸屏操作的哑终端。开发商和集成商不明。
漏洞分析：
中国农业银行电子银行体验机屏蔽了windows操作系统的快捷键、组合键、鼠标右键，并保持自身程序始终置于前段和全屏，但是在"网银登陆"页面使用usbkey时候可以绕过限制系统去访问windows系统磁盘及运行文件。
风险提示：
1、黑客可能通过对电子银行体验机植入木马去盗窃访问该终端的账户信息；
2、测试中某些网点的电子银行体验机可以访问内部网络，农行的ATM大多是是NCR基于windows平台的，会造成很大风险。
详细说明：
概述：
中国农业银行电子银行体验机是基于windows xp平台下的一个触摸屏操作的哑终端。开发商和集成商不明。
漏洞分析：
中国农业银行电子银行体验机屏蔽了windows操作系统的快捷键、组合键、鼠标右键，并保持自身程序始终置于前段和全屏，但是在"网银登陆"页面使用usbkey时候可以绕过限制系统去访问windows系统磁盘及运行文件。
风险提示：
1、黑客可能通过对电子银行体验机植入木马去盗窃访问该终端的账户信息；
2、测试中某些网点的电子银行体验机可以访问内部网络，农行的ATM大多是是NCR基于windows平台的，会造成很大风险。
漏洞证明：
修复方案：
1、优化哑终端；
版权声明：转载请注明来源 Lee@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：3
确认时间：2012-02-20 09:15
厂商回复：
CNVD未能直接复现，根据图片确认。由于处置需要位置等信息，请Lee补齐相关位置信息。在确认详细信息后，CNVD\CNCERT再进行处置。
根据此前重庆市电信终端机切换输入法进入系统的评级，rank 3
最新状态：
暂无