12306 接入补天，悬赏漏洞。

悬赏

漏洞

试试

22 replies • 2014-12-29 09:36:29 +08:00

lincanbin

Dec 28, 2014

1

悬赏金多少万？

welsmann

Dec 28, 2014

2

五亿 : 两千

xatest

Dec 28, 2014 via iPad

3

一个众所周知的漏洞：自签名证书可以进行中间人攻击～请问拿奖金要联系谁？

bluu

Dec 28, 2014

4

@xatest
12306可能不懂。
也或者是不怕，但是不怕你悬赏干毛！

bluu

Dec 28, 2014

5

这个自签名的证书，一个恶意的手机应用就很容易在手机上截获所有通讯信息

icedx

Dec 28, 2014

6

2万还可以

Quaintjade

Dec 28, 2014 via Android

7

@bluu 说很容易不恰当。自签证书私钥未泄漏时，本身是安全的。
自签证书风险之一是私钥保管不善导致泄漏。之二是，访问者知道它用的是自签，首次访问会去安装根证书，中间人可以在此时替换根证书，从而导致本机的证书体系失效；或者因为是自签，所以必须无视安全警告，从而无法判断12306网站的真伪。

luo362722353

Dec 28, 2014 via iPhone

8

每次弹出证书不信任的时候挺烦的…@bluu

DreaMQ

Dec 28, 2014

9

我觉得两万都不太够

rockpine

Dec 28, 2014

10

已经设置为最高奖励一千了
看到一个“带头大哥”的，轻轻松就拿了三四千，估计是漏洞太多，铁道研究院不得不降低奖励的金额

hggg

OP

Dec 28, 2014 via iPhone

11

最高好像2000！

14

Dec 28, 2014

12

@xatest http://loudong.360.cn/company/info/id/1597

typcn

Dec 28, 2014

13

harrysummer

Dec 28, 2014

14

那个带头大哥真乃神人也！

hggg

OP

Dec 28, 2014 via iPhone

15

@harrysummer 提交可真多~

wy315700

Dec 28, 2014

16

@xatest 你能搞得到私钥？

xierch

Dec 28, 2014

17

它要求用户下载并导入根证书，
问题是那个根证书的下载页面、下载链接都是 plain HTTP..

要确保这方面万无一失，还是得全站 HTTPS 加上 HSTS，再提交给浏览器厂商。

不然也就只能要求用户少用公共 Wi-Fi 啊什么的降低些许风险了..

bluu

Dec 28, 2014

18

没有内置根证书的话，通讯被截获的风险是100%

catoncat

Dec 28, 2014

19

那个带头大哥应该不是一个人吧？一天提交不同网站那么多漏洞。。。。吓哭

WLW

Dec 28, 2014

20

带头大哥 = 佚名

hggg

OP

Dec 28, 2014 via iPhone

21

@WLW 没错，带头大哥就是佚名！

jimmy

Dec 29, 2014

22

昨天看到的是2000，我就在想，这2000领了，是不是也得以某种zui名吃牢饭呢？