PayPal 爆出嚴重漏洞 黑客可輕鬆偷光你的錢

著名電子支付平台 PayPal 被發現嚴重安全漏洞,該漏洞允許黑客利用做偷取用戶登入憑證,甚至能明文獲取詳細信用卡資料。埃及研究人員 Ebrahim Hegazy 在 Paypal 的安全支付域名中發現跨網站指令碼(Cross-site scripting, XSS)漏洞可被利用作攻擊。

著名電子支付平台 PayPal 被發現嚴重安全漏洞,該漏洞允許黑客利用做偷取用戶登入憑證,甚至能明文獲取詳細信用卡資料。埃及研究人員 Ebrahim Hegazy 在 Paypal 的安全支付域名中發現跨網站指令碼(Cross-site scripting, XSS)漏洞可被利用作攻擊。

Paypal 的安全支付域名原意是保障用戶在網上購物時的安全,令用戶能在使用信用卡或 PayPal 賬戶支付費用時,無需儲存他們的敏感資料,然而黑客可以設立惡意網上購物網站或劫持正常的網上購物網站,再透過安全漏洞,欺騙用戶輸入他們的個人和財務資料。

 

研究人員逐步拆解黑客攻擊

Ebrahim Hegazy 還在個人 Blog 中詳細講述黑客可以如何利用安全漏洞作攻擊。首先黑客需要如上文所述,先設立一個惡意網上購物網站或劫持正常的網上購物網站,然後偽造一個 CheckOut (結賬)的按鍵,但其實是利用了 XSS 安全漏洞設計的 URL。

當用戶受騙按下該按鍵並使用 Palpay 賬號支付時,就會被導向一個偽造的安全支付頁面,該頁面實際上是釣魚式攻擊頁面,欺騙用戶輸入賬號資料來完成交易。如果用戶沒有懷疑輸入資料並按下確認按鍵,用戶並非支付購買商品的價值,而是黑客所定下的任何金額。

Ebrahim Hegazy 亦釋出示範影片證實黑客可以利用該漏洞來達成攻擊,而該漏洞已經 6 月 19 日報告給 PayPal 安全團隊,經過兩個月後安全團隊稱漏洞已在 8 月 25 日修復,而 Ebrahim Hegazy 也獲得 750 美元發現安全漏洞的獎勵。

Source: The Hacker News