漏洞详情

披露状态:

2014-03-07: 细节已通知厂商并且等待厂商处理中
2014-03-12: 厂商已经确认,细节仅向厂商公开
2014-03-22: 细节向核心白帽子及相关领域专家公开
2014-04-01: 细节向普通白帽子公开
2014-04-11: 细节向实习白帽子公开
2014-04-21: 细节向公众公开

简要描述:

通过某公开账号密码,不小心窜到了交通银行
可成功进入交通银行内部邮箱系统

详细说明:

怎么拿到的帐号和密码,这中间太曲折了,略过……

交通银行的内部邮箱入口:

https://mail.bankcomm.com/

jiao5.jpg



这里没有验证码,也没有登陆错误次数限制

只要知道了帐号,爆破不是没有可能的

帐号密码我已经有了,直接登录

jiao1.jpg



jiao2.jpg



jiao3.jpg



jiao4.jpg



漏洞证明:

帐号:cheng_xu

密码:cheng992521

姓名:程序

修复方案:

加验证码,限制错误次数,加强内部人员安全意识

版权声明:转载请注明来源 B1acken@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:6

确认时间:2014-03-12 14:55

厂商回复:

已经转由CNCERT下发给上海分中心,由分中心直接联系涉事单位处置。按社会工程学风险事件评分, rank 6

最新状态:

暂无


漏洞评价: