携程安全支付日志可遍历下载导致大量用户银行卡信息泄露(包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin)

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-054302

漏洞标题：携程安全支付日志可遍历下载导致大量用户银行卡信息泄露(包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin)

漏洞作者：猪猪侠

提交时间：2014-03-22 18:18

修复时间：2014-09-26 12:38

公开时间：2014-09-26 12:38

漏洞类型：敏感信息泄露

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2014-03-22：细节已通知厂商并且等待厂商处理中
2014-03-22：厂商已经确认，细节仅向厂商公开
2014-04-01：细节向核心白帽子及相关领域专家公开
2014-04-11：细节向普通白帽子公开
2014-04-21：细节向实习白帽子公开
2014-09-26：细节向公众公开

简要描述：

携程将用于处理用户支付的服务接口开启了调试功能，使所有向银行验证持卡所有者接口传输的数据包均直接保存在本地服务器。
(类似IIS或Apache的访问日志，记录URL POST内容)。
同时因为保存支付日志的服务器未做校严格的基线安全配置，存在目录遍历漏洞，导致所有支付过程中的调试信息可被任意骇客读取。
其中泄露的信息包括用户的：
持卡人姓名
持卡人身份证
所持银行卡类别（比如，招商银行信用卡、中国银行信用卡）
所持银行卡卡号
所持银行卡CVV码
所持银行卡6位Bin(用于验证支付信息的6位数字)

详细说明：

#1 安全支付服务器目录可遍历
https://secure.ctrip.com/wapSecurity/
#2 支付日志保存位置
https://secure.ctrip.com/wapSecurity/log/
#3 .NET 相关类，逆向后可解密很多加密数据
https://secure.ctrip.com/w******ity/_bin_deployableAssemblies/System.Web.Mvc.dll
https://secure.ctrip.com/w*******ity/obj/Release/Ctrip.Wap.SecuritySite.dll

w:\source\******\Ctrip.Wap.SecuritySite.dll
w:\source\tfs\******\Dev\1.2\SecuritySite\bin\Ctrip.Wap.SecuritySite.pdb
w:\source\tfs\******\Dev\1.2\SecuritySite\bin\Ctrip.Wap.CreditCard.dll
w:\source\tfs\******\Dev\1.2\SecuritySite\bin\Ctrip.Service.AccCash.CreditCard.dll
w:\source\tfs\******\Dev\1.2\SecuritySite\bin\Ctrip.SOA.Comm.dll
w:\source\tfs\******\Dev\1.2\SecuritySite\bin\Interop.CTRIPDATALib.dll
w:\source\tfs\******\Dev\1.2\SecuritySite\bin\Ctrip.ServiceInterface.Customer.UserServiceContracts.dll
w:\source\tfs\******\Dev\1.2\SecuritySite\bin\Ctrip.Common.LogManagement.dll
w:\source\tfs\******\Dev\1.2\SecuritySite\bin\Microsoft.Practices.EnterpriseLibrary.Logging.dll
w:\source\tfs\******\Dev\1.2\SecuritySite\bin\Microsoft.Practices.EnterpriseLibrary.Common.dll
w:\source\tfs\******\Dev\1.2\SecuritySite\bin\Microsoft.Practices.ObjectBuilder.dll
w:\source\tfs\******\Dev\1.2\SecuritySite\bin\Ctrip.Wap.CreditCard.pdb
w:\source\tfs\******\Dev\1.2\SecuritySite\obj\Release\ResolveAssemblyReference.cache
w:\source\tfs\******\Dev\1.2\SecuritySite\obj\Release\Ctrip.Wap.SecuritySite.dll
w:\source\tfs\******\Dev\1.2\SecuritySite\obj\Release\Ctrip.Wap.SecuritySite.pdb

漏洞证明：

#4 日志目录

2013-12-25 11:59:20	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
Query：??name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:19
日志信息：信用卡验证结果（返回码：118412583；返回信息：)
==============================================================
2013-12-25 11:59:20	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
Query：??name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:19
日志信息：信用卡验证结束，返回码：           118412583/返回信息：                                                                                                    (00ThisIsASpecialTokenForCTravelers       120         0  0  0  0  0  0  0           118412583                                                                                                    )
==============================================================
2013-12-25 11:59:20	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
Query：??name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:19
日志信息：/耗时53.0053
==============================================================
2013-12-25 11:59:21	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
Query：??name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:20
日志信息：准备验证信用卡.....
==============================================================
2013-12-25 11:59:21	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
Query：??name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:20
日志信息：银行名称：中国工商银行－信用卡
==============================================================
2013-12-25 11:59:21	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
Query：??name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:20
日志信息：调用服务-ServiceCode:00050001
==============================================================
2013-12-25 11:59:21	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
Query：??name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:20
日志信息：用户编号：13303596678
==============================================================
2013-12-25 11:59:21	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
Query：??name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:20
日志信息：持卡人：*莉
==============================================================
2013-12-25 11:59:21	SOA判断卡号是否合法:AccCash.CreditCard.CheckCreditCardRule-RequestXML:
<?xml version="1.0"?>
<Request>
  <Header UserID="34****" RequestType="AccCash.CreditCard.CheckCreditCardRule" AsyncRequest="false" Timeout="0" MessagePriority="3" />
  <CreditCardRuleCheckRequest>
    <CreditCardType>2</CreditCardType>
    <CreditCardNumber>CTRP0001A51E33EA931B2A78CC06E31A41C5F2F9D4CD73C17A55A0A91F5F0743</CreditCardNumber>
    <VerifyNo>CTRP0001A51E33EA931B2A78CC06E31A16F894C906744FD53DD026FA9F17078B</VerifyNo>
  </CreditCardRuleCheckRequest>
</Request>
2013-12-25 11:59:21	SOA判断卡号是否合法:AccCash.CreditCard.CheckCreditCardRule-ResponseXML:
<?xml version="1.0"?>
<Response>
  <Header ServerIP="192.168.86.164" ShouldRecordPerformanceTime="false" UserID="340101" RequestID="7b2de37d-cb91-48c2-88d8-faab9b7f8ec7" ResultCode="Success" AssemblyVersion="1.0.2.6" RequestBodySize="0" SerializeMode="Xml" RouteStep="1" Environment="pro" />
  <CreditCardRuleCheckResponse>
    <RetCode>0</RetCode>
    <CanPass>T</CanPass>
    <CreditCardType>2</CreditCardType>
  </CreditCardRuleCheckResponse>
</Response>
2013-12-25 11:59:21	SOA新增信用卡信息-RequestXml:
<?xml version="1.0"?>
<Request>
  <Header UserID="340101" RequestType="AccCash.CreditCard.ModifyMainInfo" AsyncRequest="false" Timeout="0" MessagePriority="3" />
  <ModifyCreditCardMainInfoRequest>
    <CardInfoId>0</CardInfoId>
    <CreditCardType>2</CreditCardType>
    <CardTypeName>中国工商银行－信用卡</CardTypeName>
    <CreditCardNumber>CTRP0001A51E33EA931B2A78CC06E31A41C5F2F9D4CD73C17A55A0A91F5F0743</CreditCardNumber>
    <CCardNoCode>A552A4645C8AA3D69E6C4B1B1E191CEA</CCardNoCode>
    <CValidityCode>9C0E545EC5666717A30DF88D6F33B15C</CValidityCode>
    <CardBin>427030</CardBin>
    <Validity>CTRP0001A51E33EA931B2A78CC06E31A2EF34729EFAF427C13716F425849EFB4</Validity>
    <CardHolder>*莉</CardHolder>
    <IdCardType>1</IdCardType>
    <IdNumber>142725198110110***</IdNumber>
    <VerifyNo>CTRP0001A51E33EA931B2A78CC06E31A16F894C906744FD53DD026FA9F17078B</VerifyNo>
    <Eid>mobile</Eid>
  </ModifyCreditCardMainInfoRequest>
</Request>
2013-12-25 11:59:21	SOA新增信用卡信息-ResponseXml:
<?xml version="1.0"?>
<Response>
  <Header ServerIP="192.168.86.164" ShouldRecordPerformanceTime="false" UserID="340101" RequestID="9592be7d-03a5-4baf-aa1e-0317ce2f4b3f" ResultCode="Success" AssemblyVersion="1.0.2.6" RequestBodySize="0" SerializeMode="Xml" RouteStep="1" Environment="pro" />
  <ModifyCreditCardMainInfoResponse>
    <RetCode>0</RetCode>
    <Lid>123362***</Lid>
    <CardInfoId>1204568***</CardInfoId>
  </ModifyCreditCardMainInfoResponse>
</Response>
2013-12-25 11:59:21	SOA读取用户使用过的卡后四位信息-RequestXML:
<?xml version="1.0"?>
<Request>
  <Header UserID="340101" RequestType="AccCash.CreditCard.GetPayUsedListInfoWithoutCardInfoID" AsyncRequest="false" Timeout="0" MessagePriority="3" />
  <GetPayUsedListInfoWithoutCardInfoIDRequest>
    <Uid>13303596678</Uid>
    <CreditCardType>-2147483648</CreditCardType>
  </GetPayUsedListInfoWithoutCardInfoIDRequest>
</Request>
2013-12-25 11:59:21	SOA读取用户使用过的卡后四位信息-ResponseXML:
<?xml version="1.0"?>
<Response>
  <Header ServerIP="192.168.86.164" ShouldRecordPerformanceTime="false" UserID="340101" RequestID="ad8877b2-37e0-497c-8119-ec914d9fd823" ResultCode="Success" AssemblyVersion="1.0.2.6" RequestBodySize="0" SerializeMode="Xml" RouteStep="1" Environment="pro" />
  <GetPayUsedListInfoWithoutCardInfoIDResponse>
    <PayUsedListItems />
  </GetPayUsedListInfoWithoutCardInfoIDResponse>
</Response>
2013-12-25 11:59:21	SOA新建或更新银行卡后四位绑定支付-RequestXml:
<?xml version="1.0"?>
<Request>
  <Header UserID="340101" RequestType="AccCash.CreditCard.ModifyPayUsedList" AsyncRequest="false" Timeout="0" MessagePriority="3" />
  <ModifyCreditCardPayUsedListRequest>
    <ID>0</ID>
    <Uid>13303596678</Uid>
    <CreditCardType>2</CreditCardType>
    <Active>T</Active>
    <CardInfoId>120456809</CardInfoId>
    <CNLast4Code>C0DB17C6772E2A26CB133AD3BA389CCE</CNLast4Code>
    <CreateDate>2013-12-25T00:00:00+08:00</CreateDate>
    <OnlyCheckLast4>T</OnlyCheckLast4>
  </ModifyCreditCardPayUsedListRequest>
</Request>
2013-12-25 11:59:21	SOA新建或更新银行卡后四位绑定支付-ResponseXml:
<?xml version="1.0"?>
<Response>
  <Header ServerIP="192.168.86.164" ShouldRecordPerformanceTime="false" UserID="340101" RequestID="3fcd7079-bf83-4b00-b7fe-c7d1ca4676c9" ResultCode="Success" AssemblyVersion="1.0.2.6" RequestBodySize="0" SerializeMode="Xml" RouteStep="1" Environment="pro" />
  <ModifyCreditCardPayUsedListResponse>
    <RetCode>0</RetCode>
    <ID>20510902</ID>
  </ModifyCreditCardPayUsedListResponse>
</Response>
2013-12-25 11:59:21	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
Query：??name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:20
日志信息：信用卡验证结果（返回码：120456809；返回信息：)
==============================================================
2013-12-25 11:59:21	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
Query：??name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:20
日志信息：信用卡验证结束，返回码：           120456809/返回信息：                                                                                                    (00ThisIsASpecialTokenForCTravelers       120         0  0  0  0  0  0  0           120456809                                                                                                    )
==============================================================
2013-12-25 11:59:21	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
Query：??name=MzAwMSAgICAgICAgIDEzMzAzNTk2Njc4MzIyNzA2NzQ0MDAwNTI0NjkyNTEgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICA1LjIxIDExMC44NzM2OSAzNC42MjMzODg5MDgyMDAwNTAwMDEgICAgICAgMTUx1tC5%5B%5DrmkyczS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAgICAgICAgICAyIDQyNzAzMDAwMTEzMzY0NzUgICAgICAgICAwNzgyMDE0MDIgINXFwPIgICAgICAgICAgICAgICAgMTQyNzI1MTk4MTEwMTEwNDI1ICBUMTMzMDM1OTY2NzggICAgICAgICAxIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:20
日志信息：/耗时118.0118
==============================================================
2013-12-25 11:59:24	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
Query：??name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:23
日志信息：准备验证信用卡.....
==============================================================
2013-12-25 11:59:24	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
Query：??name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:23
日志信息：银行名称：深圳发展银行/平安银?
==============================================================
2013-12-25 11:59:24	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
Query：??name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:23
日志信息：调用服务-ServiceCode:00050001
==============================================================
2013-12-25 11:59:24	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
Query：??name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:23
日志信息：用户编号：18070562288
==============================================================
2013-12-25 11:59:24	URL AbsoluteUri + Query：https://secure.ctrip.com/wapSecurity/ClientPay.aspx?name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
Query：??name=MTIwMSAgICAgICAgIDE4MDcwNTYyMjg4MTIxNTEwMDM5MDAwNDA5NDYxNDhUaGlzSXNBU3BlY2lhbFRva2VuRm9yQ1RyYXZlbGVycyAgICAgICAgICAgICAgICAgNS4xICAgICAgICAgICAgICAgICAgICA4MDkxMDAwNTAwMDEgICAgICAgMTM3ye7b2rei1bnS%5B%5DNDQL8a9sLLS%5B%5DNDQo63QxdPDv6ggICAgICAgICAgICAgICAgICAgICAyMjcyNjIgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICBGMTgwNzA1NjIyODggICAgICAgICAwIA==
URLRefer OriginalString：
日志时间：2013-12-25 11:59:23
日志信息：持卡人：
==============================================================
2013-12-25 11:59:24	SOA判断是否曾用卡-RequestXml:
<?xml version="1.0"?>
<Request>
  <Header UserID="340101" RequestType="AccCash.CreditCard.IsPayUsedCard" AsyncRequest="false" Timeout="0" MessagePriority="3" />
  <IsPayUsedListRequest>
    <Uid>18070562288</Uid>
    <CreditCardType>22</CreditCardType>
    <CNLast4Code>9773D3352E206FEF3DF91B8757D63B67</CNLast4Code>
  </IsPayUsedListRequest>
</Request>
2013-12-25 11:59:24	SOA判断是否曾用卡-ResponseXml:
<?xml version="1.0"?>
<Response>
  <Header ServerIP="192.168.86.164" ShouldRecordPerformanceTime="false" UserID="340101" RequestID="d487f26a-4410-417d-a4b0-3a05225e5800" ResultCode="Success" AssemblyVersion="1.0.2.6" RequestBodySize="0" SerializeMode="Xml" RouteStep="1" Environment="pro" />
  <IsPayUsedListResponse>
    <IsPayUseCard>T</IsPayUseCard>
    <CardInfoID>118412583</CardInfoID>
  </IsPayUsedListResponse>
</Response>
2013-12-25 11:59:24	SOA获取信用卡信息-RequestXml:
<?xml version="1.0"?>
<Request>
  <Header UserID="340101" RequestType="AccCash.CreditCard.GetCreditCardInfo" AsyncRequest="false" Timeout="0" MessagePriority="3" />
  <GetCreditCardInfoRequest>
    <CardInfoId>118412583</CardInfoId>
  </GetCreditCardInfoRequest>
</Request>
2013-12-25 11:59:24	SOA获取信用卡信息-ResponseXml:
<?xml version="1.0"?>
<Response>
  <Header ServerIP="192.168.86.164" ShouldRecordPerformanceTime="false" UserID="340101" RequestID="9e118e08-4fe1-4efd-b53a-e9f7e04d31a3" ResultCode="Success" AssemblyVersion="1.0.2.6" RequestBodySize="0" SerializeMode="Xml" RouteStep="1" Environment="pro" />
  <GetCreditCardInfoResponse>
    <CreditCardItems>
      <CreditCardInfoResponseItem>
        <CardInfoId>1184125**</CardInfoId>
        <CreditCardType>22</CreditCardType>
        <CardTypeName>深圳发展银行/平安银行－信用卡</CardTypeName>
        <CreditCardNumber>CTRP0001AF138BE8731FA32A4BFA279F763CA289A9E5C6971CD4175350A*****</CreditCardNumber>
        <CCardNoCode>B4FB0144E930CE7ED6D7F1C2D23*****</CCardNoCode>
        <CValidityCode>53A4B48D6E946FAA59C35643D77*****</CValidityCode>
        <CardBin>4835**</CardBin>
        <Validity>CTRP0001AF138BE8731FA32A4BFA279F54DF6171BA6F0E6A54F26A258AB95234</Validity>
        <CardHolder />
        <IdCardType>1</IdCardType>
        <IdNumber>362101198208030658</IdNumber>
        <VerifyNo>CTRP0001AF138BE8731FA32A4BFA279FE1EA8F5043DB70F5B557E4677C1830AF</VerifyNo>
        <CurrencyType>U</CurrencyType>
        <VM_Type>U</VM_Type>
        <IsForeignCard>F</IsForeignCard>
        <LocalCardType>U</LocalCardType>
        <AgreementCode />
        <Nationality />
        <StateName />
        <BillingAddress />
        <ZipCode />
        <Nationalityofisuue />
        <BankOfCardIssue />
        <CreateDate>2013-12-02T19:36:55</CreateDate>
        <CardRiskNoPreCode>CD15A161237CE012D84A194B64A981BC</CardRiskNoPreCode>
        <CardRiskNoLastCode>9773D3352E206FEF3DF91B8757D63B67</CardRiskNoLastCode>
        <PhoneNo />
      </CreditCardInfoResponseItem>
    </CreditCardItems>
  </GetCreditCardInfoResponse>
</Response>
2013-12-25 11:59:24	验证信用卡CVV码
2013-12-25 11:59:24	SOA开始验证信用卡CVV码-RequestXML:
<?xml version="1.0"?>
<Request>
  <Header UserID="340101" RequestType="AccCash.CreditCard.GetCreditCardRuleInfo" AsyncRequest="false" Timeout="0" MessagePriority="3" />
  <GetCreditCardRuleInfoRequest>
    <CreditCardType>22</CreditCardType>
    <CCRID>-2147483648</CCRID>
  </GetCreditCardRuleInfoRequest>
</Request>
2013-12-25 11:59:24	SOA开始验证信用卡CVV码-ResponseXML:
<?xml version="1.0"?>
<Response>
  <Header ServerIP="192.168.86.164" ShouldRecordPerformanceTime="false" UserID="340101" RequestID="010fc333-e310-42e8-af88-cc4546c8e8b4" ResultCode="Success" AssemblyVersion="1.0.2.6" RequestBodySize="0" SerializeMode="Xml" RouteStep="1" Environment="pro" />
  <GetCreditCardRuleInfoResponse>
    <CardRuleItem>
      <CCRID>985</CCRID>
      <CardType>深圳平安银行</CardType>
      <CardTypeId>22</CardTypeId>
      <CardName>信用卡</CardName>
      <CardClass>信用卡</CardClass>
      <CardRule>356868</CardRule>
      <R_Star>3568680000000</R_Star>
      <R_End>3568689999999</R_End>
      <CardLen>16</CardLen>
      <BCanUse>T</BCanUse>
      <City>0</City>
      <BVerifyNo>T</BVerifyNo>
      <CurrenyType>U </CurrenyType>
      <ModifiedFlag>I</ModifiedFlag>
    </CardRuleItem>
    <CardRuleItem>
      <CCRID>524</CCRID>
      <CardType>深圳平安银行</CardType>
      <CardTypeId>22</CardTypeId>
      <CardName>平安BB熊JCB双币卡</CardName>
      <CardClass>信用卡</CardClass>
      <CardRule>356869</CardRule>
      <R_Star>3568690000000</R_Star>
      <R_End>3568699999999</R_End>
      <CardLen>16</CardLen>
      <BCanUse>T</BCanUse>
      <City>0</City>
      <BVerifyNo>T</BVerifyNo>
      <CurrenyType>U </CurrenyType>
      <ModifiedFlag>U</ModifiedFlag>
    </CardRuleItem>
    <CardRuleItem>
      <CCRID>912</CCRID>
      <CardType>深圳市发展银行</CardType>
      <CardTypeId>22</CardTypeId>
      <CardName>VISA普卡</CardName>
      <CardClass>信用卡</CardClass>
      <CardRule>435744</CardRule>
      <R_Star>4357440000000</R_Star>
      <R_End>4357449999999</R_End>
      <CardLen>16</CardLen>
      <BCanUse>T</BCanUse>
      <City>0</City>
      <BVerifyNo>T</BVerifyNo>
      <CurrenyType>U </CurrenyType>
      <ModifiedFlag>I</ModifiedFlag>
    </CardRuleItem>
    <CardRuleItem>
      <CCRID>913</CCRID>
      <CardType>深圳市发展银行</CardType>
      <CardTypeId>22</CardTypeId>
      <CardName>VISA金卡</CardName>
      <CardClass>信用卡</CardClass>
      <CardRule>435745</CardRule>
      <R_Star>4357450000000</R_Star>
      <R_End>4357459999999</R_End>
      <CardLen>16</CardLen>
      <BCanUse>T</BCanUse>
      <City>0</City>
      <BVerifyNo>T</BVerifyNo>
      <CurrenyType>U </CurrenyType>
      <ModifiedFlag>I</ModifiedFlag>
    </CardRuleItem>
    <CardRuleItem>
      <CCRID>914</CCRID>
      <CardType>深圳市发展银行</CardType>
      <CardTypeId>22</CardTypeId>
      <CardName>双币白金卡</CardName>
      <CardClass>信用卡</CardClass>
      <CardRule>483536</CardRule>
      <R_Star>4835360000000</R_Star>
      <R_End>4835369999999</R_End>
      <CardLen>16</CardLen>
      <BCanUse>T</BCanUse>
      <City>0</City>
      <BVerifyNo>T</BVerifyNo>
      <CurrenyType>U </CurrenyType>
      <ModifiedFlag>I</ModifiedFlag>
    </CardRuleItem>
    <CardRuleItem>
      <CCRID>416</CCRID>
      <CardType>深圳市商业银行</CardType>
      <CardTypeId>22</CardTypeId>
      <CardName>平安万里通信用卡(master金卡)</CardName>
      <CardClass>信用卡</CardClass>
      <CardRule>526855</CardRule>
      <R_Star>5268550000000</R_Star>
      <R_End>5268559999999</R_End>
      <CardLen>16</CardLen>
      <BCanUse>T</BCanUse>
      <City>0</City>
      <BVerifyNo>T</BVerifyNo>
      <CurrenyType>U </CurrenyType>
      <ModifiedFlag>I</ModifiedFlag>
    </CardRuleItem>
    <CardRuleItem>
      <CCRID>415</CCRID>
      <CardType>深圳市商业银行</CardType>
      <CardTypeId>22</CardTypeId>
      <CardName>平安万里通信用卡(master普卡)</CardName>
      <CardClass>信用卡</CardClass>
      <CardRule>528020</CardRule>
      <R_Star>5280200000000</R_Star>
      <R_End>5280209999999</R_End>
      <CardLen>16</CardLen>
      <BCanUse>T</BCanUse>
      <City>0</City>
      <BVerifyNo>T</BVerifyNo>
      <CurrenyType>U </CurrenyType>
      <ModifiedFlag>I</ModifiedFlag>
    </CardRuleItem>
    <CardRuleItem>
      <CCRID>563</CCRID>
      <CardType>深圳平安银行</CardType>
      <CardTypeId>22</CardTypeId>
      <CardName>Master白金卡</CardName>
      <CardClass>信用卡</CardClass>
      <CardRule>531659</CardRule>
      <R_Star>5316590000000</R_Star>
      <R_End>5316599999999</R_End>
      <CardLen>16</CardLen>
      <BCanUse>T</BCanUse>
      <City>0</City>
      <BVerifyNo>T</BVerifyNo>
      <CurrenyType>U </CurrenyType>
      <ModifiedFlag>U</ModifiedFlag>
    </CardRuleItem>
    <CardRuleItem>
      <CCRID>413</CCRID>
      <CardType>深圳市商业银行</CardType>
      <CardTypeId>22</CardTypeId>
      <CardName>平安万里通信用卡(银联标准卡金卡)</CardName>
      <CardClass>信用卡</CardClass>
      <CardRule>622155</CardRule>
      <R_Star>6221550000000</R_Star>
      <R_End>6221559999999</R_End>
      <CardLen>16</CardLen>
      <BCanUse>T</BCanUse>
      <City>0</City>
      <BVerifyNo>T</BVerifyNo>
      <CurrenyType>U </CurrenyType>
      <ModifiedFlag>I</ModifiedFlag>
    </CardRuleItem>
    <CardRuleItem>
      <CCRID>414</CCRID>
      <CardType>深圳市商业银行</CardType>
      <CardTypeId>22</CardTypeId>
      <CardName>平安万里通信用卡(银联标准卡普卡)</CardName>
      <CardClass>信用卡</CardClass>
      <CardRule>622156</CardRule>
      <R_Star>6221560000000</R_Star>
      <R_End>6221569999999</R_End>
      <CardLen>16</CardLen>
      <BCanUse>T</BCanUse>
      <City>0</City>
      <BVerifyNo>T</BVerifyNo>
      <CurrenyType>U </CurrenyType>
      <ModifiedFlag>I</ModifiedFlag>
    </CardRuleItem>
    <CardRuleItem>
      <CCRID>562</CCRID>
      <CardType>深圳平安银行</CardType>
      <CardTypeId>22</CardTypeId>
      <CardName>银联白金卡</CardName>
      <CardClass>信用卡</CardClass>
      <CardRule>622157</CardRule>
      <R_Star>6221570000000</R_Star>
      <R_End>6221579999999</R_End>
      <CardLen>16</CardLen>
      <BCanUse>T</BCanUse>
      <City>0</City>
      <BVerifyNo>T</BVerifyNo>
      <CurrenyType>U </CurrenyType>
      <ModifiedFlag>U</ModifiedFlag>
    </CardRuleItem>
    <CardRuleItem>
      <CCRID>910</CCRID>
      <CardType>深圳市发展银行</CardType>
      <CardTypeId>22</CardTypeId>
      <CardName>银联标准卡金卡</CardName>
      <CardClass>信用卡</CardClass>
      <CardRule>622525</CardRule>
      <R_Star>6225250000000</R_Star>
      <R_End>6225259999999</R_End>
      <CardLen>16</CardLen>
      <BCanUse>T</BCanUse>
      <City>0</City>
      <BVerifyNo>T</BVerifyNo>
      <CurrenyType>U </CurrenyType>
      <ModifiedFlag>I</ModifiedFlag>
    </CardRuleItem>
    <CardRuleItem>
      <CCRID>906</CCRID>
      <CardType>深圳市发展银行</CardType>
      <CardTypeId>22</CardTypeId>
      <CardName>发展信用卡(银联金卡)</CardName>
      <CardClass>信用卡</CardClass>
      <CardRule>622525</CardRule>
      <R_Star>6225250000000</R_Star>
      <R_End>6225259999999</R_End>
      <CardLen>16</CardLen>
      <BCanUse>T</BCanUse>
      <City>0</City>
      <BVerifyNo>T</BVerifyNo>
      <CurrenyType>U </CurrenyType>
      <ModifiedFlag>I</ModifiedFlag>
    </CardRuleItem>
    <CardRuleItem>

修复方案：

#1 支付调试信息尽量不保存为文本
#2 避免目录遍历
#3 避免日志被下载

版权声明：转载请注明来源猪猪侠@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-03-22 23:22

厂商回复：

携程技术人员已经确认该漏洞，并在两小时内及时修复，对于乌云平台发现的漏洞信息表示感谢。该漏洞受影响的用户为近期的部份交易客户，目前并没有用户受到该漏洞的影响而造成相应财产损失的情况发现。携程旅行网始终对信息安全非常重视，对于此次漏洞事件如果有新的进展将持续通报。

漏洞评价：

这些评论似乎很乌云~~~思密达

2014-03-22 21:25 | 猪猪侠 ( 核心白帽子 | Rank:3224 漏洞数:254 | 你都有那么多超级棒棒糖了，还要自由干吗？)

携程网被疑储存用户信用卡信息存在泄露风险 (2014-01-10)http://finance.china.com.cn/industry/company/20140110/2111174.shtml

2014-03-22 18:23 | 啦绯哥 ( 普通白帽子 | Rank:107 漏洞数:20 )

这些就是传说中的轨道料吗？
2014-03-22 18:29 | se55i0n ( 普通白帽子 | Rank:1567 漏洞数:173 )

携程vip路过，坑呀~
2014-03-22 18:34 | clozure ( 路人 | Rank:10 漏洞数:1 | 我是来打酱油的)

唉，这种祸害，还是倒闭了好
2014-03-22 18:55 | 忆苦思甜 ( 实习白帽子 | Rank:65 漏洞数:25 )

前排瓜子。
2014-03-22 19:00 | 雅柏菲卡 ( 普通白帽子 | Rank:1213 漏洞数:234 | 雙魚座聖鬥士雅柏菲卡)

坐等忽略
2014-03-22 19:04 | 我是小号 ( 普通白帽子 | Rank:334 漏洞数:51 | Martin)

据说携程的礼物是TaoTao
2014-03-22 19:11 | zeracker ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

怎么敢相信，这这不是真的.......
2014-03-22 19:13 | 路人5 ( 路人 | Rank:6 漏洞数:5 | 你们别再问我是谁，你们可以叫我神奇的路人...)

前排必火
2014-03-22 19:15 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

@se55i0n 我也是携程的vip，擦，躺着也中枪啊！国内互联网公司真心不安全啊。。。
2014-03-22 19:19 | lxj616 ( 普通白帽子 | Rank:438 漏洞数:90 | <hohoho>)

“携程的洞永远是补不完，安全架构有问题，wooyun 某一个土豪已经在携程内网漫游了快一年了还没被发现。 ”
2014-03-22 19:20 | xssing ( 路人 | Rank:10 漏洞数:7 | xssing)

前排围观
2014-03-22 19:23 | Coffee ( 普通白帽子 | Rank:144 漏洞数:15 | Corie, a student of RDFZ.)

猪哥发威了……
2014-03-22 19:53 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

又是一场腥风血雨啊~~
2014-03-22 19:56 | Topman王 ( 实习白帽子 | Rank:31 漏洞数:6 | 软件开发工程师!白帽子!XSSER,渗透,SEO)

携程的洞永远是补不完，架构有问题
2014-03-22 20:04 | 冷冷的夜 ( 普通白帽子 | Rank:135 漏洞数:12 )

火前留名
2014-03-22 20:06 | Coody ( 核心白帽子 | Rank:1565 漏洞数:189 | 不接单、不黑产；如遇接单收徒、绝非本人所...)

.
2014-03-22 20:06 | doosit ( 路人 | Rank:18 漏洞数:4 | 木有介绍。)

这个也太。。。。
2014-03-22 20:25 | zzR ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])

不要在互联网留任何真实消息！太尼玛脆弱了
2014-03-22 20:34 | PythonPig ( 普通白帽子 | Rank:491 漏洞数:71 | 只会简单工具的小小菜)

@猪猪侠二师兄你这是叼炸天的节奏啊~~
2014-03-22 20:37 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

不要在互联网留任何真实消息！太尼玛脆弱了
2014-03-22 20:47 | 无敌L.t.H ( 路人 | Rank:21 漏洞数:4 | ‮……肉肉捉活，亭长放解)

幸亏我等穷人只住得起小旅馆。
2014-03-22 20:53 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

调试日志......这块很容易没有意识....
2014-03-22 20:53 | est ( 路人 | Rank:2 漏洞数:1 | 本id和邪㈧组织无关，虽然也在论坛混过。)

围观一下。
2014-03-22 20:56 | insight-labs ( 普通白帽子 | Rank:623 漏洞数:75 | Security guys)

有这些数据……洗卡的爽翻了……
2014-03-22 21:10 | zeracker ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

@insight-labs 嘘嘘嘘
2014-03-22 21:21 | 呆子不开口 ( 普通白帽子 | Rank:324 漏洞数:25 | 求各种兼职)

这简要描述写的有点详细了
2014-03-22 21:25 | 猪猪侠 ( 核心白帽子 | Rank:3224 漏洞数:254 | 你都有那么多超级棒棒糖了，还要自由干吗？)

携程网被疑储存用户信用卡信息存在泄露风险 (2014-01-10)http://finance.china.com.cn/industry/company/20140110/2111174.shtml
2014-03-22 21:27 | zeracker ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

@猪猪侠卧槽，携程之前都没关注吗？这股价跌死的节奏啊。。
2014-03-22 21:27 | winsyk ( 普通白帽子 | Rank:108 漏洞数:16 | 越长大越孤单)

@猪猪侠哥，你的描述写的太详细了，信用卡是高机密的数据啊。
2014-03-22 21:36 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

携程这会要哭死了
2014-03-22 21:42 | 园长 ( 普通白帽子 | Rank:134 漏洞数:14 | 你在身边就是缘，缘分写在数据库里面。)

我没在携程买过...
2014-03-22 21:48 | xyang ( 普通白帽子 | Rank:242 漏洞数:51 | stay hungry stay foolish)

围观mark
2014-03-22 22:01 | felixk3y ( 普通白帽子 | Rank:523 漏洞数:41 | php python jsp)

携程会给予重奖！会是什么重奖呢?、
2014-03-22 22:10 | 啦绯哥 ( 普通白帽子 | Rank:107 漏洞数:20 )

公然违反中国银联的以下条款（http://cn.unionpay.com/thirdpart_org/ziliaoxiazai/file_5713648.html）：2.1 磁道信息、卡片验证码、个人标识代码及卡片有效期各收单机构系统只能存储用于交易清分、差错处理所必需的最基本的账户信息，不得存储银行卡磁道信息、卡片验证码、个人标识代码（PIN）及卡片有效期8.1各类受理终端均不得存储银行卡磁道信息、卡片验证码、个人标识代码、卡片有效期等敏感账户信息。
2014-03-22 22:15 | zeracker ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

我相关部门已经在第一时间展开技术排查并在消息发布两个小时内进行了漏洞弥补工作。目前没有用户受到该漏洞的影响而造成相应财产损失的情况发现。携程对于乌云平台发现的漏洞信息表示非常重视和感谢并将对于提供漏洞信息者给与重奖。对于此次漏洞事件如果有新的进展将持续通报。
2014-03-22 22:30 | 梦想肥羊 ( 实习白帽子 | Rank:89 漏洞数:18 | 博客：dnswalk.blog.163.com)

经进一步查证，该问题是由于近日系统服务测试所造成的。经排查，该问题未造成任何用户数据泄漏，谢谢大家的关注。我们将进一步协同公安机关处理此事件。
2014-03-22 22:30 | M4sk ( 普通白帽子 | Rank:1199 漏洞数:319 | 国内信息安全任重而道远，还需要厂商和白帽...)

猪猪侠暴走了
2014-03-22 22:42 | zeracker ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

银联明文禁存信用卡信息携程称系国际惯例　　据业内人士介绍，信用卡信息主要包含卡号、有效期、CVV2码等，其中打印在卡片签名区的3位CVV2码又被称作“第二密码”，掌握着该卡的交易授权，即只要提供正确的CVV2码，就能完成支付环节。中国网财经中心记者在中国银联风险管理委员会2008年发布的《银联卡收单机构账户信息安全管理标准》中看到如下表述：各收单机构系统只能存储用于交易清分、差错处理所必需的最基本的账户信息，不得存储银行卡磁道信息、卡片验证码、个人标识代码(PIN)及卡片有效期。　　携程网华北区公关负责人在接受中国网财经中心记者采访时表示，携程网采用的信用卡支付方式符合国际惯例，“在多年前我们已经得到万事达、VISA等卡组织的认证，由此可见，这些国际金融机构对携程网的的风险控制能力和安全保密能力是持认可态度的，否则他们也不会授权给我们。”　　当记者追问携程网客服人员口头索要信用卡有效期、CVV2码等敏感信息，如何保障内部员工不泄露时，这名负责人称此举也系国际通用做法，“公司既然使用这种方式，肯定对风险有足够的把控能力。”而对于记者提出的“携程网是否违反银联规定，在后台保存了用户信用卡相关信息”时，对方未予明确回答。　　该负责人强调，携程网从未出现过信用卡盗刷案件，“因为我们主推的是旅游产品，预定时需要消费者提供身份证号码等个人信息，因此一旦盗刷，也能很快查出(嫌疑人)。”但有消费者向记者反映，盗卡人常常在网络论坛以售卖低价机票的方式，利用买家提供的身份证信息去完成消费，“即使警方查出机票实际使用人，人家也是被骗的受害者，如何追究责任呢？”
2014-03-22 22:51 | 梦想肥羊 ( 实习白帽子 | Rank:89 漏洞数:18 | 博客：dnswalk.blog.163.com)

新浪科技：携程已通过官微回应称其相关部门已在第一时间展开技术排查并在消息发布两个小时内进行了漏洞弥补工作。目前没有用户受到该漏洞的影响而造成相应财产损失的情况发现。携程对于乌云平台发现的漏洞信息表示非常重视和感谢并将对于提供漏洞信息者给与重奖。对于此次漏洞事件如果有新的进展将持续通报。
2014-03-22 22:55 | 小火苗 ( 路人 | Rank:6 漏洞数:1 | 我是一只小火苗呀，春风吹又生呀...)

没出过门的屌丝路过。
2014-03-22 23:03 | qingxp9 ( 路人 | Rank:6 漏洞数:4 | ~~~)

恭喜猪猪灭了携程
2014-03-22 23:03 | Power ( 实习白帽子 | Rank:54 漏洞数:22 | 还需要等待.........)

刚才收到两个订票信息，跟我毫不相干阿
2014-03-22 23:12 | GrayTrack ( 实习白帽子 | Rank:75 漏洞数:14 | 灰色轨迹)

闪电
2014-03-22 23:12 | GrayTrack ( 实习白帽子 | Rank:75 漏洞数:14 | 灰色轨迹)

要闪电的节奏啊
2014-03-22 23:17 | zhangsan001 ( 路人 | Rank:13 漏洞数:1 | 一个人，一帮朋友，一个圈子。)

TMD
2014-03-22 23:17 | 财智 ( 路人 | Rank:0 漏洞数:1 | 小菜鸟一枚……)

这是什么节奏，不会有人已经把信息down好了吧。
2014-03-22 23:19 | zeracker ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

@猪猪侠 http://hb.qq.com/a/20100602/000741.htm 武汉市民投诉邪门携程网刷卡不要密码就扣钱 2010年6月已经有出过类似的事情了。据介绍，如果客户持信用卡首次在携程网使用，则在支付生效前需要客户提供全部的信用卡授权所需信息。如果客户已在携程网使用过该张信用卡，且为了方便下次预订，同意携程网保留其信用卡卡号和有效期等信息，则在其下次预订时只需提供所存信用卡的卡号后4位，以及信用卡验证码，携程网就会根据其当初保留在系统中的信用卡授权信息，执行支付步骤。华莉强调，携程网内部对于信用卡无卡支付有严格的安全控制措施，客户信用卡信息的传输和保存始终处于加密状态，订票工作人员都无法取得这些资料。
2014-03-22 23:45 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

微博@Fenng 的漏洞成因据说信息：“据说啊，是无线开了调试，存了日志，然后Web.config 开了目录遍历，才出的状况，主要是手机 App 这块出问题了”（2014-03-22 23:39）http://weibo.com/1577826897/ACd6w282u
2014-03-22 23:52 | 小人物Reno ( 普通白帽子 | Rank:471 漏洞数:110 | X)

携程会把你收了！@猪猪侠
2014-03-23 00:07 | PythonPig ( 普通白帽子 | Rank:491 漏洞数:71 | 只会简单工具的小小菜)

@猪猪侠你这次又要火了，现在很多大网站、weibo都是你这个消息啊~~
2014-03-23 00:14 | 马杀鸡 ( 路人 | Rank:21 漏洞数:5 | 作为一匹勇敢的马，杀鸡是必不可少的)

我日，CVV，这是什么，携程能给个解释么
2014-03-23 00:30 | 0749orz ( 路人 | Rank:3 漏洞数:4 | 厌了，烦了~~~)

0.0 曆害
2014-03-23 04:37 | j0phy ( 路人 | Rank:26 漏洞数:4 | Bloger & Scanner & Optimist)

给个解释吧。为什么要保存用户信用卡数据？为什么没有任何加密？不清不白的，到底要不要换卡？有多少用户遭到泄露？
2014-03-23 08:17 | 季煜熙 ( 路人 | Rank:0 漏洞数:3 | 人生就像一场游戏。)

这么严重的漏洞，真的各大用户因为这个集体更换信用卡。。话说携程必须厚道啊。。重赏猪猪侠，至少也应该是欧洲双人旅行名额啊。。
2014-03-23 08:19 | debbbbie ( 路人 | Rank:10 漏洞数:2 | 深藏功与名 - A Rubyist)

这漏洞很火的!
2014-03-23 08:25 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

好厉害
2014-03-23 08:50 | 大连海事大学(乌云厂商)

看来要换信用卡了。又得火了银行。
2014-03-23 09:16 | 国家电网公司(乌云厂商)

这让我情何以堪坐等
2014-03-23 09:26 | 小川 ( 核心白帽子 | Rank:1344 漏洞数:216 | 一个致力要将乌云变成搞笑论坛的男人)

我擦，厂商们都来凑热闹了
2014-03-23 09:30 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

@季煜熙携程都恨不得把猪猪侠杀了呢，还会重奖，自己的秘密被这么赤裸裸的给曝光出来了，不知道公司会有多少损失呢，哈哈
2014-03-23 10:10 | dreamans ( 路人 | Rank:2 漏洞数:1 | PHP Coder 一枚，专注后端开发！)

真坑爹啊。。
2014-03-23 10:37 | scriptstor ( 路人 | Rank:8 漏洞数:3 | 菜鸟。。。)

携程VIP撸过... 瞬间感觉胯下一阵凉风吹过
2014-03-23 11:22 | 果冻好吃 ( 路人 | Rank:22 漏洞数:11 | 大学通知书下来那天，我迫不及待的用四百块...)

一哥，小心携程哈！要火腻害
2014-03-23 12:00 | 耐小心 ( 路人 | Rank:12 漏洞数:5 | 噗我是新手新手求罩)

携程要火的节奏？
2014-03-23 12:16 | 基佬库克 ( 实习白帽子 | Rank:75 漏洞数:15 | 简介什么的是直接爆菊吧..)

迟了，火候才留名
2014-03-23 12:27 | 魂淡、 ( 路人 | Rank:17 漏洞数:2 | 么么哒)

这些评论似乎很乌云~~~思密达.....
2014-03-23 12:36 | 熊猫 ( 实习白帽子 | Rank:64 漏洞数:33 | panda)

火了...
2014-03-23 12:49 | 炯炯虾 ( 路人 | Rank:2 漏洞数:1 | 我来自地球)

携程估计要逮人
2014-03-23 13:54 | Enjoy_Hacking ( 实习白帽子 | Rank:84 漏洞数:8 | 时间无言，如此这般。)

这件事早上上了CCAV。。。
2014-03-23 14:22 | Master ( 路人 | Rank:29 漏洞数:10 )

不明觉厉
2014-03-23 14:32 | 那一份执着 ( 路人 | Rank:2 漏洞数:4 | 只有不断学习不断思考才能使自己进步，我不...)

火了~~~~~~~~
2014-03-23 15:51 | pangshenjie ( 普通白帽子 | Rank:110 漏洞数:14 )

不知道携程会怎么处理。刚开了安全中心就被打脸了
2014-03-23 17:00 | 小火苗 ( 路人 | Rank:6 漏洞数:1 | 我是一只小火苗呀，春风吹又生呀...)

@px1624 这次猪猪侠不用为人身安全担心的吧，完全可以说是heige用他的号报的呀。嘿嘿。
2014-03-23 17:02 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

@小火苗？？啥意思？黑哥报的？
2014-03-23 17:18 | 小火苗 ( 路人 | Rank:6 漏洞数:1 | 我是一只小火苗呀，春风吹又生呀...)

@px1624 不是啊，以前黑哥不是用过一次楼主的号嘛，然后楼主这次就有理由推卸责任了。嘿嘿
2014-03-23 17:40 | sn... ( 实习白帽子 | Rank:91 漏洞数:12 | 感觉下面有点硬。。。)

携程呀。。新闻站头条了都。。、、
2014-03-23 18:09 | 齐迹 ( 核心白帽子 | Rank:784 漏洞数:100 | 一名普通的phper开发者，关注web安全。)

竟然不见 @xsser @疯狗不会是被查水表了把？
2014-03-23 18:11 | xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

@齐迹 still alive
2014-03-23 19:05 | 草榴社区 ( 普通白帽子 | Rank:109 漏洞数:26 | 未满18周岁,不准进入.)

携程说一共仅涉及93名用户，你怎么看。＠猪猪侠
2014-03-23 20:14 | 猪猪侠 ( 核心白帽子 | Rank:3224 漏洞数:254 | 你都有那么多超级棒棒糖了，还要自由干吗？)

@草榴社区你觉得呢？等公开就知道细节了
2014-03-23 20:17 | Root、U ( 路人 | Rank:0 漏洞数:1 | 长期从事网络安全、web安全、黑客攻击防御...)

@猪猪侠你说你曝光之前到底有人下载过他数据没有呢
2014-03-23 20:21 | U神 ( 核心白帽子 | Rank:1285 漏洞数:142 | 感谢乌云，知恩不忘，其实我一直都在乌云默...)

@猪猪侠我觉得可能是这样的记录了log，其中log格式是/log/20140102.txt或者是/log/2014-01-01.txt然后可以通过遍历每日的日志读取重要信息是波？
2014-03-23 20:23 | VIP ( 普通白帽子 | Rank:759 漏洞数:100 )

已上CCTV
2014-03-23 20:47 | 小怿 ( 路人 | Rank:29 漏洞数:6 | )

@猪猪侠看了携程的微博之后，我觉得这次事件和淘宝上次的设立500万类似，目测重奖给你5万。
2014-03-23 20:47 | 24jason ( 普通白帽子 | Rank:165 漏洞数:30 | 《算法导论》、《具体数学》……)

火爆了。。。
2014-03-23 20:48 | M4sk ( 普通白帽子 | Rank:1199 漏洞数:319 | 国内信息安全任重而道远，还需要厂商和白帽...)

http://video.sina.com.cn/p/news/c/v/2014-03-23/164463653573.html
2014-03-23 21:35 | 大亮 ( 普通白帽子 | Rank:306 漏洞数:65 | 慢慢挖洞)

猪猪侠的洞上了各种卫视的新闻，碉堡啊。。。。
2014-03-23 23:20 | Liuz5O69 ( 实习白帽子 | Rank:54 漏洞数:8 | 一个默默的学习者。)

@猪猪侠是secure.ctrip.com下的目录遍历吗
2014-03-23 23:51 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

猪哥威武……
2014-03-24 08:17 | web天空 ( 路人 | Rank:1 漏洞数:1 | 你猜镇，不告诉你村。)

有没有人跟我一样想知道猪猪侠第一楼的评论文字颜色和大小为什么这么叼？同意的求顶!
2014-03-24 10:43 | Windy ( 路人 | Rank:26 漏洞数:10 | 苦逼的民工)

碉堡、、
2014-03-24 10:48 | 小薇2013 ( 实习白帽子 | Rank:32 漏洞数:5 | 我就看看我不说话！)

给力！！！
2014-03-24 11:03 | 路人N ( 路人 | Rank:12 漏洞数:8 )

mark~
2014-03-24 11:33 | evil_webshell ( 路人 | Rank:0 漏洞数:2 | 致力于web层面的安全，热爱黑客技术，正在...)

猪猪哥，牛死了。
2014-03-24 11:33 | evil_webshell ( 路人 | Rank:0 漏洞数:2 | 致力于web层面的安全，热爱黑客技术，正在...)

猪猪侠，这就是传说中的牛人么
2014-03-24 16:02 | 孔卡 ( 实习白帽子 | Rank:42 漏洞数:12 | 我已经过了那个餐桌上只有一条鸡腿就一定能...)

如果有人去你家查水表千万别开门 @猪猪侠
2014-03-24 17:31 | zathing ( 路人 | Rank:20 漏洞数:2 | 广告位招租)

终于抽出空来mark下。。。努力ing
2014-03-25 03:45 | silmoon ( 路人 | Rank:26 漏洞数:3 | 熟悉Windows平台安全。)

mark it!
2014-03-25 09:30 | 浩天 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

股价都迭了，跌了差不多10美元
2014-03-25 10:46 | Wicky ( 路人 | Rank:0 漏洞数:1 | .)

这下猪猪侠出名了啊
2014-03-25 13:36 | diguoji ( 普通白帽子 | Rank:323 漏洞数:79 | 中国吉林长春)

新闻视频到处都是猪猪侠好猛
2014-03-28 19:09 | debbbbie ( 路人 | Rank:10 漏洞数:2 | 深藏功与名 - A Rubyist)

@猪猪侠，获得了多少奖金哇~~
2014-03-29 08:38 | qingran ( 路人 | Rank:10 漏洞数:2 | muyou)

简直就是坑爹
2014-03-31 18:39 | 伟哥 ( 普通白帽子 | Rank:110 漏洞数:29 | 不怕流氓有文化,就怕色狼有耐心,那么一只起...)

上CCTV了有木有多家电视台报道 QAQ 膜拜大牛
2014-04-04 17:58 | NULL0 ( 路人 | Rank:18 漏洞数:3 | ..............)

千万别开门哦
2014-04-04 17:58 | NULL0 ( 路人 | Rank:18 漏洞数:3 | ..............)

千万别开门
2014-04-07 18:01 | by小星星 ( 路人 | Rank:4 漏洞数:4 | 我会唱小星星、)

上CCTV了有木有多家电视台报道膜拜大牛
2014-04-11 17:35 | 鸡鸡 ( 路人 | Rank:7 漏洞数:4 )

默默看着洞主。
2014-04-15 10:08 | bitcoin ( 普通白帽子 | Rank:715 漏洞数:218 | 学习是最好的投资！)

刚在携程上买过东西
2014-04-19 04:48 | 小夜 ( 路人 | Rank:15 漏洞数:8 | 漫长的日子)

里面是什么内容好想看啊哈哈哈
2014-04-22 09:21 | 浩天 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

怎么能就这么存储了，太危险了
2014-04-22 09:34 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

我去？看到了，很惊奇。
2014-04-22 10:20 | 爱Gail ( 普通白帽子 | Rank:237 漏洞数:38 | 爱漏洞、爱编程、爱旅游、爱Gail)

这个漏洞很猛，细节原来是这样，加密部分是怎么解密的
2014-04-22 10:30 | xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

@爱Gail dll
2014-04-23 11:19 | 不良小狼 ( 实习白帽子 | Rank:33 漏洞数:5 | 路人乙)

@猪猪侠类似于这种情况，我觉得在一般的CDN服务商也会保存这些数据。慢慢的都会成为风险点
2014-09-26 13:19 | 小卖部部长 ( 路人 | Rank:24 漏洞数:3 | 别拿部长不当干部！)

我等来晚了~~~~
2014-09-26 13:50 | Andy_ ( 路人 | Rank:25 漏洞数:7 | 中行打酱油第一人！！)

早已数据透明化
2014-09-26 14:06 | 有点小鸡冻 ( 路人 | Rank:12 漏洞数:8 )

很明显猪猪侠会被携程追着砍，不信你看一楼

WooYun.org

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-054302

漏洞标题：携程安全支付日志可遍历下载导致大量用户银行卡信息泄露(包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin)

相关厂商：携程旅行网

漏洞作者：猪猪侠

提交时间：2014-03-22 18:18

修复时间：2014-09-26 12:38

公开时间：2014-09-26 12:38

漏洞类型：敏感信息泄露

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源猪猪侠@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

漏洞评价：

评论

WooYun.org

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-054302

漏洞标题：携程安全支付日志可遍历下载 导致大量用户银行卡信息泄露(包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin)

相关厂商：携程旅行网

漏洞作者： 猪猪侠

提交时间：2014-03-22 18:18

修复时间：2014-09-26 12:38

公开时间：2014-09-26 12:38

漏洞类型：敏感信息泄露

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

Tags标签： 无

4人收藏 收藏 var token=""; var id="wooyun-2014-054302"; $(".btn-fav").click(function(){ CollectBug(id,token); }); 分享漏洞：

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 猪猪侠@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

漏洞评价：

评论

漏洞概要关注数(24) 关注此漏洞

漏洞标题：携程安全支付日志可遍历下载导致大量用户银行卡信息泄露(包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin)

漏洞作者：猪猪侠

Tags标签：无

4人收藏收藏
分享漏洞：

版权声明：转载请注明来源猪猪侠@乌云