漏洞概要
关注数(24)
关注此漏洞
漏洞标题：工行某ATM沙盒绕过（未深入）
提交时间：2013-04-14 19:59
修复时间：2013-05-29 19:59
公开时间：2013-05-29 19:59
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：8
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
Tags标签：
无
漏洞详情
披露状态：
2013-04-14： 细节已通知厂商并且等待厂商处理中
2013-04-16： 厂商已经确认，细节仅向厂商公开
2013-04-26： 细节向核心白帽子及相关领域专家公开
2013-05-06： 细节向普通白帽子公开
2013-05-16： 细节向实习白帽子公开
2013-05-29： 细节向公众公开
简要描述：
今天去充公交卡。。发现上新机器。。习惯性的look下。。果断绕过，1分钟内结束战斗。。没有深入研究，估计可以xss或更严重。。。因为判断是B/S构架的。。
详细说明：
多点触控惹的祸。。朕会告诉你三点等于右键吗？
右键调出保存文件，然后右键新窗口打开。。然后任务管理器。。然后你懂得。。
目测程序名是WebAppIE，估计是B/S框架。。本地代理劫持下。。完败有木有啊。。。（猜测未深入。。请重视该类漏洞。。。）
我知道银行类招标会有赔偿，这个厂商必赔，工行你也来乌云表示下。。至少给乌云点赞助吧。。
漏洞证明：
绕过1
结束主程序2
好吧，重启走起。。。333333333333333
修复方案：
完全是些无用的功能，引起了问题。。。是在标书上好看，多点触控。。。请问下有什么用途？这里就不吐槽了。。权限最小化，服务精简化，功能简洁化。。。。走你，继续和华硕讨论笔记本三包。。。
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2013-04-16 23:29
厂商回复：
对于终端机绕过漏洞，由于CNCERT尚未与该行直接建立处置联系，暂未列入处置队列。
并拟提前公开漏洞信息。
最新状态：
暂无
漏洞评价：
评论
-
2013-04-14 20:18 |
Z-0ne 
( 普通白帽子 | Rank:559 漏洞数:38 | 目前专注于工控安全基础研究，工业数据采集...)
-
2013-04-14 20:54 |
淡漠天空 ( 实习白帽子 | Rank:1113 漏洞数:141 | M:出售GOV STATE NSA CIA NASA DHS Symant...)
-
2013-04-14 21:26 |
专业种田 ( 核心白帽子 | Rank:1425 漏洞数:165 | 没有最专业的农民,只有更努力地耕耘..........)
-
2013-04-14 22:03 |
鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:41 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)
-
2013-04-14 22:04 |
O.o ( 普通白帽子 | Rank:105 漏洞数:12 | ส็็็็็็็็็็็็็็็็็็็...)
-
2013-04-14 22:31 |
无敌L.t.H ( 路人 | Rank:21 漏洞数:4 | ……肉肉捉活，亭长放解)
-
2013-04-14 23:09 |
齐迹 ( 核心白帽子 | Rank:784 漏洞数:89 | 一名普通的phper开发者，关注web安全。)
-
2013-04-15 00:07 |
Slcio ( 实习白帽子 | Rank:74 漏洞数:13 | 白帽)
其实气氛的不是其它，一直用工行，后来发现工行安全系数没有想象那么高。。这叫做拿用户开玩笑。。。一直用华硕本，感觉售后快，突然发现自己本子一年坏了5-6次，要求换新了。。拖了N久。。又一个拿客户开玩笑的。。。
-
2013-04-15 08:47 |
wefgod ( 普通白帽子 | Rank:1807 漏洞数:170 | 力不从心)
-
2013-04-15 09:38 |
包包 ( 路人 | Rank:6 漏洞数:5 | 我是菜鸟，我怕谁？小弟新来，望大牛多多包...)
-
2013-04-15 09:39 |
围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)
-
2013-04-17 13:45 |
小土豆 ( 普通白帽子 | Rank:129 漏洞数:22 )
-
2013-05-07 11:56 |
专业种田 ( 核心白帽子 | Rank:1425 漏洞数:165 | 没有最专业的农民,只有更努力地耕耘..........)
-
2013-05-07 15:26 |
wefgod ( 普通白帽子 | Rank:1807 漏洞数:170 | 力不从心)
-
2013-05-17 08:01 |
Black Angel ( 普通白帽子 | Rank:163 漏洞数:35 | 最神奇的一群人，智慧低调又内敛，俗称马甲...)
-
2013-05-29 20:06 |
yuer ( 路人 | Rank:7 漏洞数:3 | 我其实是菜鸟。。。)
-
2013-05-29 20:55 |
xiaokinghk ( 实习白帽子 | Rank:82 漏洞数:15 | 【DBA】)
-
2013-05-29 23:10 |
Slcio ( 实习白帽子 | Rank:74 漏洞数:13 | 白帽)
@xiaokinghk 社的不错。。。不过在社工信息里面朕留有监控。。不知记录下你木有。。有空去看看。。。
-
2013-05-29 23:11 |
Slcio ( 实习白帽子 | Rank:74 漏洞数:13 | 白帽)
@xiaokinghk 或者你是看到图片上的某字了？强烈建议增加表情。。
-
2013-05-31 10:00 |
光影 ( 路人 | Rank:11 漏洞数:4 | 软件技术专业学生，沉静的娃儿……)
-
2013-07-11 15:51 |
灬相随灬 ( 普通白帽子 | Rank:369 漏洞数:64 | 大胆天下去得，小心寸步难行。)
-
2014-04-21 14:59 |
小贱人 ( 路人 | Rank:4 漏洞数:3 | 资深菜鸟，)
