建站
咨詢
售后
建站咨詢
新聞中心
近日，白帽子Jan Kechel發(fā)現(xiàn)了PayPal存在謊稱支付額度的漏洞，并證明這可能會(huì)并被利用來(lái)進(jìn)行詐騙。
站在用戶的角度思考問(wèn)題，與客戶深入溝通，找到曲麻萊網(wǎng)站設(shè)計(jì)與曲麻萊網(wǎng)站推廣的解決方案，憑借多年的經(jīng)驗(yàn)，讓設(shè)計(jì)與互聯(lián)網(wǎng)技術(shù)結(jié)合，創(chuàng)造個(gè)性化、用戶體驗(yàn)好的作品，建站類型包括：做網(wǎng)站、成都網(wǎng)站設(shè)計(jì)、企業(yè)官網(wǎng)、英文網(wǎng)站、手機(jī)端網(wǎng)站、網(wǎng)站推廣、域名注冊(cè)、網(wǎng)站空間、企業(yè)郵箱。業(yè)務(wù)覆蓋曲麻萊地區(qū)。
Jan Kechel給出的Demo：http://lvps91-250-100-5.dedicated.hosteurope.de:43926/
作者在頁(yè)面上給出了詳細(xì)的步驟和解釋，首先點(diǎn)擊“start step 1”會(huì)轉(zhuǎn)向一個(gè)1歐元的PayPal“快捷支付“頁(yè)面：
當(dāng)確認(rèn)支付后，回重定向到付款頁(yè)面(DoExpressCheckoutPayment)。注意，問(wèn)題就出在這個(gè)重定向后的頁(yè)面上，作者在demo中把付款金額調(diào)整為了2歐元，點(diǎn)“start step 2”后便會(huì)支付2歐：
當(dāng)然若想完成交易是必須“確認(rèn)支付”的(也就是setp 2)，這無(wú)疑造成了支付缺陷給不法分子帶來(lái)了機(jī)會(huì)。同樣，作者使用了200美元同樣上試驗(yàn)成功。
Jan Kechel向PayPal提交漏洞后，PayPal公司卻否認(rèn)這是一個(gè)安全漏洞不給予Jan Kechel任何賞金。PalPay聲稱這是為了小額的運(yùn)費(fèi)(或其他)而故意為之的。
作者認(rèn)為PayPal公司應(yīng)該在“快捷支付”被確認(rèn)后的“付款”進(jìn)行再次檢查，以防止實(shí)際付款金額大于確認(rèn)支付的金額，并且一旦有小額的費(fèi)用變化要向用戶進(jìn)行明顯的提示。
原文地址：http://seclists.org/bugtraq/2014/Jul/85
網(wǎng)頁(yè)題目：PayPal支付缺陷造成謊稱支付額度漏洞
鏈接分享：http://m.5511xx.com/article/cocdoec.html
