查看完整版本: 乌云再曝支付漏洞：携程网中枪 用户信息遭泄[1P]

乌云再曝支付漏洞：携程网中枪 用户信息遭泄[1P]

[size=4]今天晚间，漏洞报告平台乌云公布最新漏洞称，[b]携程安全支付日志可遍历下载，导致大量用户银行卡信息泄露(包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin)。[/b]

乌云网称已将细节通知厂商并且等待厂商处理中。此外，携程还被曝携程某分站源代码包可直接下载。

[/size][size=4][b]漏洞详情描述：[/b][/size]

[size=4][/size][size=4]携程将用于处理用户支付的服务接口开启了调试功能，使所有向银行验证持卡所有者接口传输的数据包均直接保存在本地服务器。(类似IIS或Apache的访问日志，记录URL POST内容)。[/size]

[size=4][/size][size=4]同时因为保存支付日志的服务器未做校严格的基线安全配置，存在目录遍历漏洞，导致所有支付过程中的调试信息可被任意骇客读取。[/size]

[align=center][size=4][img]http://img1.mydrivers.com/img/20140322/s_6a1a40df5aba431692e96dfbf9ce324c.jpg[/img][/size][/align]

[size=4][/size][size=4][b]其中泄露的信息包括用户的：[/b][/size]

[size=4][/size][size=4]持卡人姓名[/size]
[size=4][/size][size=4]持卡人身份证[/size]
[size=4][/size][size=4]所持银行卡类别（比如，招商银行信用卡、中国银行信用卡）[/size]
[size=4][/size][size=4]所持银行卡卡号[/size]
[size=4][/size][size=4]所持银行卡CVV码[/size]
[size=4][/size][size=4]所持银行卡6位Bin(用于支付的6位数字)[/size]
[size=4]至截稿时，尚未收到携程官方回应。[/size]

[[i] 本帖最后由 fiendgreed 于 2014-3-22 21:58 编辑 [/i]]

还好,不用携程的相关产品。我感觉,这些网站对待客户的信息很随意要重罚一次让他长点记性。

除非以后微软或者GOOGLE那个等级的出网银平台，要不然总感觉不够安全的