建站
咨詢
售后
建站咨詢
新聞中心
近日，白帽子Jan Kechel發(fā)現(xiàn)了PayPal存在謊稱支付額度的漏洞，并證明這可能會并被利用來進行詐騙。
站在用戶的角度思考問題，與客戶深入溝通，找到曲麻萊網(wǎng)站設(shè)計與曲麻萊網(wǎng)站推廣的解決方案，憑借多年的經(jīng)驗，讓設(shè)計與互聯(lián)網(wǎng)技術(shù)結(jié)合，創(chuàng)造個性化、用戶體驗好的作品，建站類型包括：做網(wǎng)站、成都網(wǎng)站設(shè)計、企業(yè)官網(wǎng)、英文網(wǎng)站、手機端網(wǎng)站、網(wǎng)站推廣、域名注冊、網(wǎng)站空間、企業(yè)郵箱。業(yè)務(wù)覆蓋曲麻萊地區(qū)。
Jan Kechel給出的Demo：http://lvps91-250-100-5.dedicated.hosteurope.de:43926/
作者在頁面上給出了詳細的步驟和解釋，首先點擊“start step 1”會轉(zhuǎn)向一個1歐元的PayPal“快捷支付“頁面：
當(dāng)確認支付后，回重定向到付款頁面(DoExpressCheckoutPayment)。注意，問題就出在這個重定向后的頁面上，作者在demo中把付款金額調(diào)整為了2歐元，點“start step 2”后便會支付2歐：
當(dāng)然若想完成交易是必須“確認支付”的(也就是setp 2)，這無疑造成了支付缺陷給不法分子帶來了機會。同樣，作者使用了200美元同樣上試驗成功。
Jan Kechel向PayPal提交漏洞后，PayPal公司卻否認這是一個安全漏洞不給予Jan Kechel任何賞金。PalPay聲稱這是為了小額的運費(或其他)而故意為之的。
作者認為PayPal公司應(yīng)該在“快捷支付”被確認后的“付款”進行再次檢查，以防止實際付款金額大于確認支付的金額，并且一旦有小額的費用變化要向用戶進行明顯的提示。
原文地址：http://seclists.org/bugtraq/2014/Jul/85
文章題目：PayPal支付缺陷造成謊稱支付額度漏洞
標(biāo)題鏈接：http://fisionsoft.com.cn/article/cocdoec.html
