漏洞详情

披露状态:

2014-09-11: 细节已通知厂商并且等待厂商处理中
2014-09-16: 厂商已经确认,细节仅向厂商公开
2014-09-26: 细节向核心白帽子及相关领域专家公开
2014-10-06: 细节向普通白帽子公开
2014-10-16: 细节向实习白帽子公开
2014-10-26: 细节向公众公开

简要描述:

某银行XX中心视频电话通讯未配置任何访问限制 敏感接口缺乏认证

详细说明:

一次偶然发现某银行征信中心视频电话通讯未配置任何认证信息对访问限制,
纯属义务测试未对系统做任何动作;其中包含同多地某行征信中心的通讯记录信息;
试了几个地址居然都是一样的配置未做任何认证;
幸亏被我这雷锋发现了O(∩_∩)O哈哈~不然~~~~(>_<)~~~~ 难以想象啊!!!
央行的朋友们要是想感谢就随便来个礼物哈,拒绝查水表。
明天就是乌云安全峰会了但是提前送个贺礼吧预祝大会圆满举办

漏洞证明:

https://1.202.234.67/

信办.jpg


底下是他们通讯记录虽然有重复的但是还是可以从里面发现很多地址的哦,嘿嘿

2.jpg


随便试了个果然是
https://27.115.78.123/

4.jpg


3.jpg


好了就到这个不一个个试了看记录默认保存99条

123.jpg


1234.jpg


456.jpg


修复方案:

加认证,好了不多说了

标签: none

评论已关闭