搜索

[14483] 2019-08-18_劫持任意Paypal企业账户子账户实现未授权转账操作（$10K）

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-18
2019-08-18_劫持任意Paypal企业账户子账户实现未授权转账操作（$10K） 劫 持 任 意 P a y p a l 企 业 账 户 子 账 户 实 现 未 授 权 转 账 操 作 （ $ 1 0 K ） c l o u d s   F r e e B u f   2 0 1 9 - 0 8 - 1 8 好 久 没 有 发 文 了 ， 今 天 分 享 我 近 期 发 现 的 一 个 好 久 没 有 发 文 了 ， 今 天 分 享 我 近 期 发 现 的 一 个 P a y p a l 越 权 漏 洞 （ 越 权 漏 洞 （ I D O R ） 。 利 用 该 漏 洞 ， 我 可 以 劫 持 任 意 ） 。 利 用 该 漏 洞 ， 我 可 以 劫 持 任 意 P a y p a l 企 业 账 户 的 子 账 户 （ 二 级 账 户 ） ， 从 而 可 发 起 从 受 害 者 企 业 账 户 到 攻 击 企 业 账 户 的 子 账 户 （ 二 级 账 户 ） ， 从 而 可 发 起 从 受 害 者 企 业 账 户 到 攻 击 者 控 制 账 户 的 未 授 权 转 账 操 作 。 理 论 上 来 说 ， 漏 洞 原 因 在 者 控 制 账 户 的 未 授 权 转 账 操 作 。 理 论 上 来 说 ， 漏 洞 原 因 在 P a y p a l 中 发 生 了 不 安 全 的 直 接 对 象 引 用 行 为 （ 中 发 生 了 不 安 全 的 直 接 对 象 引 用 行 为 （ I D O R ） 。 ） 。 P a y p a l 企 业 账 户 和 子 账 户 介 绍 企 业 账 户 和 子 账 户 介 绍 P a y p a l 企 业 账 户 （ B u s i n e s s   A c c o u n t ） 也 叫 P a y P a l 商 业 账 户 ， 是 为 了 方 便 各 种 大 公 司 企 业 用 户 使 用 而 开 发 的 ， 具 有 P a y P a l 高 级 账 户 的 所 有 功 能 和 限 制 ， 为 方 便 交 易 和 商 业 行 为 ， 企 业 账 户 下 可 以 创 建 隶 属 于 企 业 员 工 ， 但 又 具 备 各 种 权 限 的 子 账 户 （ S e c o n d a r y   A c c o u n t ） ， 如 设 定 其 权 限 为 只 能 查 看 余 额 ， 或 者 只 能 退 款 ， 或 者 只 能 提 现 等 等 。 但 P a y p a l 企 业 账 户 下 的 子 账 户 还 有 一 项 权 限 ， 那 就 是 可 以 把 企 业 账 户 中 的 资 金 转 账 到 任 何 子 账 户 指 定 的 其 他 账 户 中 去 。 所 以 ， 基 于 这 种 权 限 ， 如 果 能 劫 持 企 业 账 户 下 的 子 账 户 ， 就 可 以 从 企 业 账 户 转 钱 出 来 ， 实 现 任 意 资 金 操 作 了 ， 不 是 吗 ？ 说 搞 就 搞 。 动 手 测 试 动 手 测 试 动 手 之 前 ， 我 用 v i c t i m @ g m a i l . c o m 和 a t t a c k e r @ g m a i l . c o m 注 册 了 两 个 企 业 账 户 以 便 测 试 。 首 先 ， 在 受 害 者 邮 箱 v i c t i m @ g m a i l . c o m 绑 定 的 企 业 账 户 下 ， 我 创 建 了 一 个 用 户 名 为 v i c t i m 1 2 3 4 的 子 账 户 ； 接 着 ， 在 攻 击 者 邮 箱 a t t a c k e r @ g m a i l . c o m 绑 定 的 企 业 账 户 下 ， 我 创 建 了 一 个 用 户 名 为 a t t a c k e r 1 2 3 4 的 子 账 户 ； 现 在 ， 以 攻 击 者 一 方 为 例 ， 我 们 来 观 察 一 下 企 业 账 户 下 涉 及 的 子 账 户 （ a t t a c k e r 1 2 3 4 ） U R L 情 况 ， 我 们 先 从 企 业 账 户 中 点 击 去 到 子 账 户 中 看 看 ， 如 下 ： h t t p s : / / w w w . p a y p a l . c o m / b u s i n e s s m a n a g e / u s e r s / 1 6 6 0 9 7 1 1 7 5 7 9 1 2 4 5 0 3 8 结 尾 的 i d 号 1 6 6 0 9 7 1 1 7 5 7 9 1 2 4 5 0 3 8 代 表 的 就 是 a t t a c k e r @ g m a i l . c o m 绑 定 的 企 业 账 户 。 在 此 子 账 户 查 看 操 作 过 程 中 产 生 了 一 个 如 下 的 P U T 请 求 ： 仔 细 观 察 并 测 试 一 番 过 后 ， 我 发 现 ， 上 述 这 个 P U T 请 求 中 第 一 个 i d 字 段 ， 即 1 6 6 0 9 7 1 1 7 5 7 9 1 2 4 5 0 3 8 这 里 可 以 替 换 为 任 意 随 机 数 值 （ 如 a s d f j d s f ） ， 第 二 个 i d 字 段 ， 即 4 4 6 1 1 3 4 9 5 这 里 ， 它 代 表 了 子 账 户 i d ， 漏 洞 就 出 在 这 里 的 第 二 个 i d 字 段 。 由 于 ， 这 第 二 个 i d 字 段 只 是 简 单 的 数 字 递 增 或 递 减 ， 所 以 它 完 全 是 可 枚 举 的 ， 那 么 ， 对 于 攻 击 者 来 说 ， 只 要 把 它 更 改 为 比 如 4 4 6 1 1 3 4 9 6 ， 此 时 ， 如 果 假 设 该 i d 对 应 的 就 是 受 害 者 企 业 账 户 下 的 子 账 户 v i c t i m 1 2 3 4 ， 那 么 ， 攻 击 者 就 能 轻 易 在 他 的 企 业 账 户 子 账 户 页 面 中 （ h t t p s : / / w w w . p a y p a l . c o m / b u s i n e s s m a n a g e / u s e r s ） ， 查 看 到 另 一 企 业 账 户 下 的 受 害 者 子 账 户 信 息 了 。 也 就 是 说 ， 比 如 ， 攻 击 者 可 以 枚 举 出 4 4 6 1 1 3 4 9 5 至 4 4 6 1 1 3 9 9 9 的 所 有 子 账 户 ， 然 后 在 其 在 其 企 业 账 户 的 子 账 户 管 理 页 面 下 都 能 查 看 到 这 些 子 账 户 ， 那 么 ， 终 极 招 数 就 是 攻 击 者 只 需 通 过 这 种 方 式 的 子 账 户 信 息 查 看 ， 把 相 应 子 账 户 密 码 进 行 修 改 ， 那 就 可 以 实 现 账 户 劫 持 了 ， 完 美 ！ 漏 洞 实 现 效 果 就 是 ， 攻 击 者 可 以 通 过 密 码 修 改 方 式 登 录 受 害 者 企 业 账 户 下 的 受 害 者 子 账 户 ， 进 行 任 意 未 授 权 的 转 账 操 作 。 漏 洞 奖 励 漏 洞 奖 励 漏 洞 上 报 后 ， P a y p a l 官 方 进 行 了 及 时 的 修 复 ， 好 在 经 检 测 未 发 现 任 何 该 漏 洞 的 滥 用 行 为 ， 我 也 获 得 了 P a y p a l 奖 励 的 $ 1 0 , 5 0 0 。   * 参 考 来 源 ： 参 考 来 源 ： w h i t e h a t h a j i ， ， c l o u d s 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自 F r e e B u f . C O M P U T   / b u s i n e s s m a n a g e / u s e r s / a p i / v 1 / u s e r s ?   H T T P / 1 . 1 H o s t :   w w w . p a y p a l . c o m C o n n e c t i o n :   c l o s e [ { " i d " : " 1 6 6 0 9 7 1 1 7 5 7 9 1 2 4 5 0 3 8 " , " a c c e s s P o i n t " : { " p r i v i l e g e s " : [ " M A N U A L _ R E F E R E N C E _ T X N " , " V I E W _ C U S T O M E R S " , " S E N D _ M O N E Y " ] , " i d " : " 4 4 4 6 1 1 3 4 9 5 " , " a c c o u n t s " : [ " a t t a c k e r @ g m a i l . c o m " ] } , " r o l e I D " :
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理