漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0119916
漏洞标题：金融小能手之浦发银行(越权修改他人信息和查看订单信息)
相关厂商：浦发银行
漏洞作者： 咚咚呛
提交时间：2015-06-12 07:55
修复时间：2015-07-31 10:58
公开时间：2015-07-31 10:58
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-12： 细节已通知厂商并且等待厂商处理中
2015-06-16： 厂商已经确认，细节仅向厂商公开
2015-06-26： 细节向核心白帽子及相关领域专家公开
2015-07-06： 细节向普通白帽子公开
2015-07-16： 细节向实习白帽子公开
2015-07-31： 细节向公众公开
简要描述：
越权修改他人信息。。。这测试卡上金额真他妈多，我所有的东西全部变卖了也没人家零头多。浦发果然是土豪的第一选择啊。
详细说明：
本次测试用了大概2个小时，其中高危的两个，低危不计其数主要是内网IP、信息泄露啥的(没啥意思就不写了)，高危就2俩。
1、越权修改任意账户别名
说明：可以修改任意指定的账户凭证别名，储蓄卡或者信用卡都可。
功能点：我的账户>账户管理>凭证别名/默认卡号>>凭证别名设置
连接：https://ebank.spdb.com.cn/per/main
参数：
SelectedMenuId=menu8_4_1_1&l1MenuId=menu8&l2MenuId=menu8_4&groupName=MyAccount&transName=PUserAcctInfoManage&resultcount=2&acctType0=1&acctNo0=6225212800256817&acctnickname0=aa&acctType1=U&acctNo1=&acctnickname1=&submitButton=%C8%B7%B6%A8
参数acctNo0为卡号，acctnickname0为凭证别名，只需修改acctNo0为指定卡号，即可修改，比如：6225212800256817
又比如：6225220180241309
登陆后查看，如下：
如果有人恶作剧的对所有卡号进行遍历并修改或者此处别名存在xss存储漏洞，那就真的通杀了。
2、订单号可以跑单
这个洞起初不想提的，因为订单参数OrderNum它是按照时间格式来命名，比如它的订单号是20150612012922376345，可以明显看出是一个精确到毫秒的命名，如果对这个进行一天的脱裤的话最起码要跑10位数字，没测过在保证业务安全的前提下要跑多长时间，所以这个洞是否能否真实应用有待考验，不过问题确实存在，本着负责想了一想还是写出来了。
功能点：我的订单>订单查询>订单详情
连接：https://ebank.spdb.com.cn/fmall/RealGoldQueryOrderStatus.do
参数：{"OrderNum":"20150612012922376345","_locale":"zh_CN"}
漏洞证明：
详情看上面吧，其实我测试的时候，老版个人网银系统明显给我的感觉要比新版个人网银安全很多，从提示判断来看，可能大体架构没换，但从参数传递上看有变化了好多，总感觉有很多问题，回头有时间好好测测，拿着别人的号测起来总是很“烫手”的。
修复方案：
对链接判断下权限就OK了，之前的链接做的都挺好的。
版权声明：转载请注明来源 咚咚呛@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2015-06-16 10:56
厂商回复：
CNVD确认并复现所述情况,已经转由CNCERT向保险行业信息化主管部门通报,由其后续协调网站管理单位处置.
最新状态：
2015-06-25：根据网站管理单位反馈和测试的情况,漏洞不存在.此前CNVD确认情况有误.
漏洞评价：
评论
-
洞主测试下瑞士银行的呗
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)