PayPal支付缺陷造成谎称支付额度漏洞

近日，白帽子Jan Kechel发现了PayPal存在谎称支付额度的漏洞，并证明这可能会并被利用来进行诈骗。

站在用户的角度思考问题，与客户深入沟通，找到曲麻莱网站设计与曲麻莱网站推广的解决方案，凭借多年的经验，让设计与互联网技术结合，创造个性化、用户体验好的作品，建站类型包括：做网站、成都网站设计、企业官网、英文网站、手机端网站、网站推广、域名注册、网站空间、企业邮箱。业务覆盖曲麻莱地区。

Jan Kechel给出的Demo：http://lvps91-250-100-5.dedicated.hosteurope.de:43926/

作者在页面上给出了详细的步骤和解释，首先点击“start step 1”会转向一个1欧元的PayPal“快捷支付“页面：

当确认支付后，回重定向到付款页面(DoExpressCheckoutPayment)。注意，问题就出在这个重定向后的页面上，作者在demo中把付款金额调整为了2欧元，点“start step 2”后便会支付2欧：

当然若想完成交易是必须“确认支付”的(也就是setp 2)，这无疑造成了支付缺陷给不法分子带来了机会。同样，作者使用了200美元同样上试验成功。

Jan Kechel向PayPal提交漏洞后，PayPal公司却否认这是一个安全漏洞不给予Jan Kechel任何赏金。PalPay声称这是为了小额的运费(或其他)而故意为之的。

作者认为PayPal公司应该在“快捷支付”被确认后的“付款”进行再次检查，以防止实际付款金额大于确认支付的金额，并且一旦有小额的费用变化要向用户进行明显的提示。

原文地址：http://seclists.org/bugtraq/2014/Jul/85

当前题目：PayPal支付缺陷造成谎称支付额度漏洞
URL分享：http://www.shufengxianlan.com/qtweb/news28/554528.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联