支付宝上信用卡提现的实现

编号23263
Urlhttp://www.wooyun.org/bug.php?action=view&id=23263
漏洞状态厂商已经确认
漏洞标题支付宝上信用卡提现的实现
漏洞类型设计缺陷/逻辑错误
厂商阿里巴巴
白帽子呆子不开口
提交日期2013-05-08 02:08:00
公开日期2013-06-22 02:09:00
修复时间(not set)
确认时间2013-05-09 00:00:00
Confirm Spend1
漏洞标签设计缺陷/边界绕过 逻辑错误 支付行业敏感 支付安全 支付漏洞
关注数0
收藏数0
白帽评级
白帽自评rank5
厂商评级
厂商评rank1
漏洞简介
如题
漏洞细节

支付宝上向他人转账时,规则是不可以使用信用卡来付的
但是有个找他人代付的功能
而被要求代付的人的支付页面却是可以用信用卡支付的
业务逻辑上表现出的结果是,代付行为等同于购买行为
但实质上却实现了转账的功能
而且被转帐方的钱可以提现到储蓄卡中,从而间接实现了信用卡套现
我不知道是不是这个规则是允许的,我个人觉得不妥

POC

我用我的三个帐号实现了把信用卡里的钱提现到了银行卡中
a帐号给b帐号付款,请求c帐号代付,c帐号用信用卡支付成功,b帐号提现到储蓄卡成功
补充点细节,不知道对结果是不是有影响的。有一个帐号我使用的是代理登录的,而且b和c帐号绑定的是同一个实名

修复方案

如果代付类型是转账,应该也不允许用信用卡支付
如果日后清算,请饶过我的100元的测试交易行为

状态信息 2013-05-08: 细节已通知厂商并且等待厂商处理中
2013-05-09: 厂商已经确认,细节仅向厂商公开
2013-05-19: 细节向核心白帽子及相关领域专家公开
2013-05-29: 细节向普通白帽子公开
2013-06-08: 细节向实习白帽子公开
2013-06-22: 细节向公众公开
厂商回复感谢你对我们的关注与支持,支付宝后台对于信用卡套现有监控系统对相关业务进行实时监控。
回应信息危害等级:低漏洞Rank:1 确认时间:2013-05-09 16:22
Showing 1-36 of 36 items.
评论内容评论人点赞数评论时间

这货不就是三人行么?

无敌L.t.H02013-06-08 17:20:00

求洞主套现!

wefgod02013-05-10 10:08:00

这个居然有精华啊

fox02013-05-10 02:35:00

发这玩意没意思啊

啦绯哥02013-05-09 21:51:00

@docall 真相帝~

小威02013-05-09 19:57:00

擦,来晚了。。。

niliu02013-05-09 18:31:00

你打人家脸了,给你1分不错了,不然死不承认的。。。

docall02013-05-09 17:55:00

make果断留名

Defa02013-05-09 17:46:00

@疯狗 擦,懂了,看到了,受精若宠

呆子不开口02013-05-09 17:34:00

@疯狗 什么意思,没看懂,什么劈成2rank了。乌云股份技术有限公司cfo在么,出来给解释下

呆子不开口02013-05-09 17:32:00

@小威 看到的是1rank,实际给劈成2rank了

疯狗02013-05-09 17:28:00

雷都劈了,咋才1rank

小威02013-05-09 17:26:00

@呆子不开口 被雷劈了,两分了

xsser02013-05-09 17:18:00

@呆子不开口 我们都帮你盯着

疯狗02013-05-09 17:06:00

@呆子不开口 有监控的情况下,还能让N多人(或许有犯罪团队)套现,这算失职?没想过改进,只想过逃避责任。起码得给两分。

zeracker02013-05-09 17:03:00

有监控,不严重,给1分,不公开甲方也不容易,我表示理解过段时间我会再看看这个流程改没改,如果改了,我觉得起码得给2分

呆子不开口02013-05-09 17:01:00

根本就科学,之前N人套现了,才给1分?恶心

zeracker02013-05-09 16:36:00

官方允许对这个套现的监控系统监测不(不查水表的前提下)

xsser02013-05-09 16:29:00

@呆子不开口 等你提现超过2000呢

xsser02013-05-09 15:01:00

怎么官方还没个结论啊

呆子不开口02013-05-09 15:00:00

@zeracker @hongygxiang 已撸,撸过

lion(lp)02013-05-09 10:08:00

@lion(lp) 发骚了

zeracker02013-05-09 10:08:00

@hongygxiang 你怎么知道我的是什么方法的阿,官方还未确认,说不定是无效的

呆子不开口02013-05-08 17:41:00

断了好多人的财路啊。。。

lion(lp)02013-05-08 17:14:00

@zeracker 其他的我就不清楚了。想想以后信用卡不能套现了,灰暗的日子来临了,只能在家自己撸了。

hongygxiang02013-05-08 17:06:00

@hongygxiang 最近封了俩了。

zeracker02013-05-08 17:02:00

@呆子不开口 唉,这个方法用了段时间了,你这一提交让我以后没钱了情何以堪?

hongygxiang02013-05-08 17:01:00

金融警察来了怎么办?

无敌L.t.H02013-05-08 15:41:00

maik

O.o02013-05-08 15:31:00

关注+1

comp12802013-05-08 12:46:00

信用卡套现,联系手机 XXXXXXX @呆子不开口

疯狗02013-05-08 10:31:00

关注!

iproute02013-05-08 10:02:00

目测从明天开始,提现手续费又要涨了。。。洞主太狠了

zeracker02013-05-08 09:28:00

难道是用每月额度的那个

fox02013-05-08 09:19:00

街上小纸条就是你贴的吧

xsser02013-05-08 08:50:00

这个得关注

circus02013-05-08 02:21:00