漏洞概要
关注数(24)
关注此漏洞
漏洞标题:支付宝一个修复后被忽略的漏洞再次进行任意文件遍历下载
提交时间:2014-02-23 02:22
修复时间:2014-04-09 02:22
公开时间:2014-04-09 02:22
漏洞类型:任意文件遍历/下载
危害等级:高
自评Rank:20
漏洞状态:厂商已经确认
Tags标签:
无
漏洞详情
披露状态:
2014-02-23: 细节已通知厂商并且等待厂商处理中
2014-02-25: 厂商已经确认,细节仅向厂商公开
2014-03-07: 细节向核心白帽子及相关领域专家公开
2014-03-17: 细节向普通白帽子公开
2014-03-27: 细节向实习白帽子公开
2014-04-09: 细节向公众公开
简要描述:
看到一个乌云上支付宝的漏洞被忽略了,说漏洞不存在,但是一般乌云的作者提交的都应该是真实的,于是研究了一把看怎么回事
详细说明:
应用程序漏洞没修复,采取了防火墙进行修复,但是只过滤了../
就可以继续插入了
漏洞证明:
写了个脚本看了一些,太累了,睡觉
不多看了
修复方案:
漏洞回应
厂商回应:
危害等级:中
漏洞Rank:7
确认时间:2014-02-25 08:35
厂商回复:
感谢您对支付宝安全的关注。
最新状态:
暂无
漏洞评价:
评论
-
2014-02-23 02:24 |
Kavia ( 实习白帽子 | Rank:50 漏洞数:10 )
-
2014-02-23 02:26 |
ylaxfcy ( 普通白帽子 | Rank:178 漏洞数:28 | 技术无黑白,但是人有)
-
2014-02-23 02:43 |
大天尊 ( 路人 | Rank:20 漏洞数:6 | ´-ω-`)
-
2014-02-23 02:44 |
ylaxfcy ( 普通白帽子 | Rank:178 漏洞数:28 | 技术无黑白,但是人有)
@大天尊 阿里上一次的危机公关被这一次给毁求,对于忽略漏洞的相关人员,估计好日子要到头了
-
2014-02-23 02:59 |
xxw ( 路人 | Rank:29 漏洞数:18 | 中国梦)
-
2014-02-23 08:53 |
lucky ( 普通白帽子 | Rank:409 漏洞数:84 | 三人行必有我师焉########################...)
-
2014-02-23 08:56 |
Anymous ( 普通白帽子 | Rank:124 漏洞数:28 )
-
2014-02-23 09:00 |
Anymous ( 普通白帽子 | Rank:124 漏洞数:28 )
-
2014-02-23 09:44 |
川川 ( 实习白帽子 | Rank:68 漏洞数:28 | 今天我刷屏)
-
2014-02-23 09:54 |
超威蓝猫 ( 核心白帽子 | Rank:1092 漏洞数:117 | STEAM_0:0:55968383)
-
2014-02-23 09:56 |
小胖子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)
-
2014-02-23 09:58 |
xxw ( 路人 | Rank:29 漏洞数:18 | 中国梦)
-
2014-02-23 10:20 |
鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)
-
2014-02-23 10:28 |
mramydnei ( 普通白帽子 | Rank:348 漏洞数:80 )
-
2014-02-23 11:01 |
路人N ( 路人 | Rank:12 漏洞数:8 )
-
2014-02-23 11:10 |
conqu3r ( 普通白帽子 | Rank:156 漏洞数:21 | 没有思想,没有道德,没有自由,没有人权的...)
-
2014-02-23 11:18 |
June ( 实习白帽子 | Rank:36 漏洞数:1 | 姐姐妳小时候给猪亲过啊?)
-
2014-02-23 11:26 |
围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)
-
2014-02-23 11:29 |
轨迹 ( 路人 | Rank:5 漏洞数:3 | 321)
-
2014-02-23 11:49 |
支付宝(乌云厂商)
我是跟这个漏洞有关的工程师,之前的漏洞之所以忽略是因为那个漏洞之前已经有人提交给我们,而且要上线修复了,所以不能给前面的同学漏洞分数,后面这个被绕过确实是我们修复方案考虑不周全,所以请各位不要再以讹传讹。谢谢理解和关心。
-
2014-02-23 11:59 |
Vigoss_Z ( 普通白帽子 | Rank:404 漏洞数:63 | 楞娃)
-
2014-02-23 12:01 |
xcfres54 ( 路人 | Rank:16 漏洞数:3 )
-
2014-02-23 12:07 |
diguoji ( 普通白帽子 | Rank:323 漏洞数:79 | 中国吉林长春)
-
2014-02-23 12:14 |
支付宝(乌云厂商)
@Vigoss_Z 之前的漏洞是提交给我们内部的漏洞平台,而且确实比前一个同学更早时间提交,对我们来说已经是一个已知的问题,所以只能选择忽略掉。我们会认真对待每个提交的漏洞,确实是我们的未知安全问题,一定会跟踪修复,给漏洞提交者一个满意答案
-
2014-02-23 12:16 |
lucky ( 普通白帽子 | Rank:409 漏洞数:84 | 三人行必有我师焉########################...)
-
2014-02-23 12:18 |
onlycjeg ( 实习白帽子 | Rank:38 漏洞数:5 | 我就看看,我不说话.)
-
2014-02-23 12:41 |
wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)
@支付宝 写着大大的无此漏洞就直接忽略了,这就叫做内部有人报了啊?自己先看看自己怎么回复的,然后再看外界怎么说。
-
2014-02-23 12:53 |
ylaxfcy ( 普通白帽子 | Rank:178 漏洞数:28 | 技术无黑白,但是人有)
无此漏洞,感谢您对支付宝安全的关注 | 现在真解释不清楚了
-
2014-02-23 12:58 |
mramydnei ( 普通白帽子 | Rank:348 漏洞数:80 )
-
2014-02-23 13:21 |
冷静 ( 路人 | Rank:3 漏洞数:2 )
-
2014-02-23 13:35 |
支付宝(乌云厂商)
感谢大家的关注,拿到之前漏洞信息时确实已经上线修复了,只是我的个人回复措辞不当,如果给漏洞提交者带来心理伤害,可以私信我,请他吃饭,后面不再一一回复了。
-
2014-02-23 13:38 |
冷静 ( 路人 | Rank:3 漏洞数:2 )
@支付宝 明明上个漏洞说"无此漏洞",这次变成了有人内部提交,你咋前后做人区别这么大啊
-
2014-02-23 13:41 |
肉肉 ( 普通白帽子 | Rank:112 漏洞数:10 | 肉肉在长亭科技,肉肉在长亭科技,肉肉在长...)
@支付宝 为什么厂商有时间来和大家解释没时间确认漏洞呢,那么多待确认啊。没法复现么?有一个有视频啊,可以看看怎么做的哦
-
2014-02-23 14:11 |
wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)
上次那个洞主是富二代,估计他不会去和支付宝吃饭的……
-
2014-02-23 14:46 |
tnt1200 ( 普通白帽子 | Rank:121 漏洞数:17 | 关注飞机安全....)
-
2014-02-23 16:15 |
IT P民 ( 普通白帽子 | Rank:128 漏洞数:24 | 嗯,没什么好介绍的.)
-
2014-02-23 17:06 |
B1acken ( 普通白帽子 | Rank:174 漏洞数:56 | 渣渣)
-
2014-02-23 17:14 |
zeracker ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)
-
2014-02-23 21:37 |
Windy ( 路人 | Rank:26 漏洞数:10 | 苦逼的民工)
-
2014-02-23 22:38 |
孤独雪狼 ( 普通白帽子 | Rank:710 漏洞数:145 | 七夕手机被偷,这坑爹的七夕啊 。。。。)
@支付宝 呵呵 这么说来乌云上所有支付宝的漏洞都会有人提过
-
2014-02-24 05:20 |
rootnmxx ( 路人 | Rank:5 漏洞数:1 )
-
2014-02-24 09:52 |
雷锋 ( 路人 | Rank:12 漏洞数:2 | 承接:钻井,架工,木工,电工,水暖工,力...)
对于24小时不确认洞洞的厂商直接公开。不然他不懂得重视。。总认为自己高高在上。厂商欠打
-
2014-02-24 11:36 |
大大灰狼 ( 普通白帽子 | Rank:248 漏洞数:53 | Newbie)
-
2014-02-24 16:15 |
abaddon ( 实习白帽子 | Rank:37 漏洞数:10 | 我叫什么名字)
提交的信息不够 支付宝 没找到吧可怜我的鱼额宝 在楼主的双目注视之下呀
-
2014-02-26 09:56 |
小乐天 ( 实习白帽子 | Rank:64 漏洞数:14 | From KnownSec)
-
2014-03-17 13:17 |
wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)
-
2014-04-10 09:43 |
secgov ( 路人 | Rank:10 漏洞数:3 | 安全审计,漏洞挖掘,WAF. 揭露漏洞有风险,...)
-
2014-12-11 07:17 |
Power ( 实习白帽子 | Rank:54 漏洞数:22 | 还需要等待.........)