社区编辑申请
注册/登录
支付巨头PayPal曝大漏洞,黑客可直接窃取用户资金
安全 黑客攻防
黑客利用了不可见的覆盖页面或显示在可见页面顶部的HTML元素。在点击合法页面时,用户实际上是在点击由攻击者控制的覆盖合法内容的恶意元素。

据The Hacker News消息,昵称为h4x0r_dz的安全研究人员在支付巨头PayPal的汇款服务中发现了一个未修补的大漏洞,可允许攻击者窃取用户账户中的资金。其攻击原理是利用点击劫持技术诱导用户进行点击,在不知不觉中完成交易,最终达到窃取资金的目的。

所谓点击劫持技术,指的是不知情的用户被诱骗点击看似无害的网页元素(如按钮),目的是下载恶意软件、重定向到恶意网站或泄露敏感信息。

而在PayPal的漏洞中,这个技术被用来完成交易。黑客利用了不可见的覆盖页面或显示在可见页面顶部的HTML元素。在点击合法页面时,用户实际上是在点击由攻击者控制的覆盖合法内容的恶意元素。

2021年10月,h4x0r_dz向PayPal报告了这一漏洞,证明攻击者可以通过利用 Clickjacking 窃取用户的资金。

h4x0r_dz是在专为计费协议设计的“www.paypal[.]com/agreements/approve”端点上发现了该漏洞。他表示,“按照逻辑,这个端点应只接受 billingAgreementToken,但在深入测试后发现并非如此,我们可以通过另一种令牌类型完成,这让攻击者有机会从受害者的 PayPal 账户中窃取资金。”

这意味着攻击者可以将上述端点嵌入到iframe中,如下图所示,此时已经登录Web浏览器的受害者点击页面的任何地方,就会自动向攻击者所控制的PayPal 帐户付款。

更令人担忧的是,这次攻击可能会对和PayPal集成进行结账的在线门户网站造成灾难性后果,从而使攻击者能够从用户的PayPal账户中扣除任意金额。

h4x0r_dz在社交平台上发布的帖子写到,“有一些在线服务可以让你使用 PayPal 将余额添加到你的帐户中,我可以使用相同的漏洞并强迫用户向我的帐户充值,或者我可以利用此漏洞让受害者为我创建/支付 Netflix帐户。”

目前,有安全专家表示,该漏洞尚未完成修复工作,用户应保持足够的警惕。

责任编辑:赵宁宁 来源: FreeBuf.COM
相关推荐

2022-06-15 08:21:49

Linux运维工程师

2022-06-07 10:09:42

新技术人工智能5G

2022-06-09 18:04:46

网络攻击网络安全

2022-06-07 09:59:21

网络安全安全漏洞

2022-06-15 14:40:54

英特尔漏洞

2022-06-24 11:34:38

云计算应用安全

2022-06-20 14:57:50

漏洞安全威胁

2022-06-20 13:34:46

漏洞网络攻击

2022-06-09 10:12:01

网络安全人工智能威胁监测

2022-06-23 09:49:16

火绒安全英特尔

2022-06-17 11:24:52

2022-04-02 19:18:12

漏洞黑客

2022-06-16 16:12:57

网络资产攻击面管理CAASM

2022-06-06 06:10:00

密码验证安全

2022-05-17 14:03:42

勒索软件远程工作

2022-06-10 14:47:17

量子计算机编程

2022-05-20 18:39:31

戴尔

2022-05-03 23:21:13

安全意识网络安全网络钓鱼

2022-05-30 14:19:03

意大利网络安全黑客

2022-05-28 10:44:43

云成本云架构多云

同话题下的热门内容

黑客推广一种新的模块化恶意软件服务,可提供多种攻击

编辑推荐

DDos攻击解析T级攻击态势下解析DDOS高防IP系统架构2019 HackerOne黑客报告:白帽收入最高竟是普通程序员的40倍利用静态分析加固开源入侵检测系统(IDS)的最佳实践如何利用fBox算法检测隐蔽性强的欺诈用户
我收藏的内容
点赞
收藏

51CTO技术栈公众号