搜索

[8366] 2014-10-21_算不算漏洞？PayPal帐号锁定被绕过引发争议

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-17
2014-10-21_算不算漏洞？PayPal帐号锁定被绕过引发争议 算 不 算 漏 洞 ？ P a y P a l 帐 号 锁 定 被 绕 过 引 发 争 议 嘎 巴 嘎 巴   F r e e B u f   2 0 1 4 - 1 0 - 2 1 安 全 研 究 人 员 安 全 研 究 人 员 & 白 帽 子 白 帽 子 K u n z   M e j r i 近 日 发 现 了 一 个 关 于 近 日 发 现 了 一 个 关 于 P a y p a l 移 动 支 付 移 动 支 付 A P I 的 漏 洞 ， 攻 击 者 可 以 利 用 该 漏 洞 绕 过 的 漏 洞 ， 攻 击 者 可 以 利 用 该 漏 洞 绕 过 P a y p a l 的 防 盗 号 锁 定 设 计 。 的 防 盗 号 锁 定 设 计 。 利 用 移 动 支 付 利 用 移 动 支 付 A P I 绕 过 帐 号 锁 定 设 计 绕 过 帐 号 锁 定 设 计 P a y P a l 的 防 盗 号 锁 定 设 计 是 这 样 的 ： 如 果 有 人 多 次 输 入 不 正 确 的 密 码 ， 其 P a y P a l 帐 户 就 会 被 暂 时 封 锁 。 要 解 封 帐 户 ， 用 户 必 须 回 答 一 系 列 的 安 全 提 问 。 这 一 安 全 功 能 只 在 常 规 的 W e b 应 用 程 序 中 应 用 ， 但 安 全 研 究 人 员 & 白 帽 子 K u n z   M e j r i 发 现 ： 移 动 A P I 不 检 查 账 户 是 否 被 封 ， 直 接 允 许 用 户 再 次 登 录 ， B e n j a m i n   K u n z   M e j r i 是   漏 洞 实 验 室 ( V u l n e r a b i l i t y   L a b ) 创 始 人 ， 也 是 发 现 该 问 题 的 人 ， 他 于 上 周 发 表 了 这 个 漏 洞 。 “ 客 户 端 A P I 只 会 检 查 帐 户 是 否 存 在 ， 而 不 会 检 查 账 户 是 否 被 封 锁 ， 这 使 得 封 锁 的 用 户 能 够 访 问 P a y P a l 账 户 ， 并 进 行 转 账 等 交 易 ， 他 可 以 送 钱 从 帐 户 中 ， i P h o n e   /   i P a d 的 P a y p a l 应 用 需 要 更 新 ， 以 确 保 应 用 能 够 验 证 帐 户 状 态 ， 以 防 账 号 盗 用 的 事 情 发 生 。 ” 该 漏 洞 已 经 过 测 试 ， 在 i O S 的 应 用 程 序 中 得 到 验 证 ， 但 K u n z   M e j r i 称 ， P a y p a l   A n d r o i d 版 本 的 应 用 程 序 也 受 到 影 响 。 漏 洞 证 明 漏 洞 证 明 P O C ( p r o o f - o f - c o n c e p t ) 视 频 ： 视 频 ： h t t p s : / / w w w . y o u t u b e . c o m / w a t c h ? v = R X u b X P _ r 2 M 4 漏 洞 确 认 引 发 分 歧 漏 洞 确 认 引 发 分 歧 这 份 安 全 漏 洞 报 告 早 在 2 0 1 3 年 3 月 已 提 交 给 P a y P a l ， 在 此 之 后 P a y P a l 应 用 程 序 几 度 更 新 ， 但 漏 洞 始 终 没 有 被 修 复 。 K u n z   M e j r i 说 P a y p a l 表 示 因 最 初 没 能 复 现 漏 洞 ， 否 认 存 在 问 题 。 然 而 ， 当 白 帽 子 K u n z   M e j r i 提 供 P O C ( p r o o f - o f - c o n c e p t ) 视 频 后 ， P a y P a l 最 终 确 认 了 该 漏 洞 （ 这 种 厂 商 也 算 典 型 的 不 到 黄 河 不 死 心 … … ） 。 但 P a y P a l 公 司 表 示 不 会 为 该 漏 洞 支 付 报 酬 ， 因 为 P a y P a l 认 为 这 超 出 了 他 们 的 奖 励 范 围 。 但 K u n z   M e j r i 坚 持 认 为 他 应 该 有 资 格 获 得 漏 洞 奖 金 。 在 在 S e c u r i t y W e e k 与 与 P a y P a l 取 得 联 系 后 ， 取 得 联 系 后 ， P a y P a l 表 示 他 们 公 司 目 前 正 在 处 理 漏 洞 ， 之 后 也 会 奖 励 报 告 安 全 问 题 的 研 究 人 表 示 他 们 公 司 目 前 正 在 处 理 漏 洞 ， 之 后 也 会 奖 励 报 告 安 全 问 题 的 研 究 人 员 。 员 。 P a y p a l 在 一 份 电 子 邮 件 声 明 中 说 。 在 一 份 电 子 邮 件 声 明 中 说 。 “ 通 过 P a y p a l 的 漏 洞 赏 金 计 划 ， 白 帽 子 帮 助 我 们 发 现 了 使 用 P a y P a l 的 移 动 应 用 程 序 时 绕 过 安 全 问 题 的 方 法 。 我 们 客 户 的 账 户 安 全 对 我 们 很 重 要 ， 我 们 正 在 努 力 解 决 这 个 问 题 ， 需 要 强 调 的 是 我 们 没 有 任 何 证 据 表 明 这 一 漏 洞 影 响 了 P a y p a l 帐 户 的 安 全 性 。 ” 小 编 ： 以 后 大 家 与 厂 商 产 生 纠 纷 ， 可 以 向 小 编 ： 以 后 大 家 与 厂 商 产 生 纠 纷 ， 可 以 向 F r e e B u f 投 诉 甚 至 曝 光 ： ） 投 诉 甚 至 曝 光 ： ） [ 参 考 来 源 参 考 来 源 v u l n e r a b i l i t y - l a b   s e c u r i t y w e e k ， 作 者 ， 作 者 / F r e e B u f 小 编 嘎 巴 嘎 巴 ， 转 载 请 注 明 来 自 小 编 嘎 巴 嘎 巴 ， 转 载 请 注 明 来 自 F r e e b u f . C O M ]
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理