Яссер Х. Али, египетский исследователь безопасности, обнаружил три критических уязвимости на веб-сайте PayPal, которые можно использовать для контроля учетных записей клиентов.
Ясир объяснил в своем посте три уязвимости, используемые для взлома учетных записей:
1] Многоразовый токен CSRF:
Токен CSRF «который аутентифицирует каждый отдельный запрос, сделанный пользователем», который также можно найти в теле запроса каждого запроса с именем параметра «Auth», изменяется при каждом запросе, сделанном пользователем для мер безопасности, но после глубокого изучения я обнаружил, что аутентификация CSRF может быть повторно использована для этого конкретного адреса электронной почты пользователя или имени пользователя, это означает, что если злоумышленник обнаружил какой-либо из этих токенов CSRF, он может затем выполнить действия в поведении любого вошедшего в систему пользователя.
2] Обход системы аутентификации CSRF:
злоумышленник может получить аутентификацию CSRF, которая может быть действительной для ВСЕХ пользователей, перехватывая запрос POST со страницы, предоставляющей маркер аутентификации перед входом в систему, проверьте эту страницу на наличие магического CSRF Auth «h t t p s://www.paypal.com/eg/cgi-bin/webscr?cmd=_send-money». На этом этапе злоумышленник может выполнить CSRF «почти» любой запрос на поведение этого пользователя.
3] ByPassing the Security Questions Change:
запрос на настройку вопросов безопасности, «инициируемых пользователем при регистрации», не защищен паролем, и его можно использовать повторно для сброса вопросов безопасности без предоставления пароля, следовательно, Вооруженный CSRF Auth, злоумышленник может также CSRF этот процесс и изменить вопросы безопасности жертвы.
На этом этапе злоумышленник может провести целевую CSRF-атаку на пользователей PayPal и получить полный контроль над своей учетной записью:
- Добавить / удалить / подтвердить адрес электронной почты
- Добавить полностью привилегированных пользователей в бизнес-аккаунт
- Изменить секретные вопросы
- Изменить адрес выставления счета / доставки
- Изменить способы оплаты
- Изменить настройки пользователя (Уведомления / Мобильные настройки)…. и более.
«Уязвимость исправлена очень быстро, и PayPal заплатил мне максимальную награду, которую они дают (10 000 долларов США) ;)» - Ясир Али
