Yassir Ali, ein unabhängiger Forscher, berichtet, dass ein kritischer Fehler im Schutzsystem für Cross-Site Request Forgery machte alle PayPal-Konto anfällig für Hijacking. Das Problem ist, dass PayPal ist wiederverwendbar Authentifizierungs-Tokens. Sie können von Cyberkriminellen verwendet, um ihre E-Mails auf den entführten PayPal-Benutzerkonto verknüpfen und die volle Kontrolle über sie werden.
Authentication Token
Der Forscher, die entdeckt wurde der Fehler konnte auch ein Authentifizierungstoken gilt für PayPal-Konten zu erfassen. Er fand heraus, dass das Token Buchhaltung für die Authentifizierung aller Benutzeranforderung nicht für eine Email-Adresse geändert. Dies ermöglicht es dem Angreifer ermöglichen, verschiedene Modifikationen durchführen, falls er authentifiziert wird.
Durch Abfangen eines Authentifizierungs-Token, die für alle Benutzer gültig ist, der Forscher war auch in der Lage, die CSRF-Schutz Berechtigungssystem von PayPal zu umgehen. Für diesen Test, er verwendet die Burp-Toolkit, um die POST-Anforderung von einer Seite, die ein Token vor dem Anmeldeprozess umfasst bekommen.
Der Forscher lieferte ein Beispiel mit einer Seite für das Senden von Geld an andere PayPal-Nutzer verwendet,. Zusammen mit den E-Mails von dem Sender und dem Empfänger, der Forscher trat eine gefälschte vergessen. Auf diese Weise ein Zeichen für die Anforderung für das jeweilige Konto Krieg erstellt.
Das Passwort
Später in seinem Forschungsprozess, Ali versucht, neue Wege, um das Kennwort des Zielkontos ohne eingeloggt zu ändern finden. Dies ist normalerweise nicht möglich, wenn die richtige Antwort auf die Sicherheitsfrage nicht vorgesehen. Um dieses Stadium zu erreichen, der Angreifer müssen sich einloggen.
Aber, der Benutzer wird aufgefordert, eine Sicherheitsfrage gesetzt, als er meldet sich für den PayPal-Service, die nicht durch ein Kennwort geschützt ist. Und indem sie in den Besitz der CSRF Authentifizierungs-Token, kann der Angreifer die Frage ändern und eine andere Antwort.
Das Token validiert folgende Anträge:
- Entfernen, Zugabe und Bestätigung eine E-Mail-Adresse
- Ändern der Rechnungsadresse
- Ändern der Sicherheitsfrage
- Ändern der Kontokonfiguration
- Ändern die Zahlungsmethoden
Der Forscher hat die Informationen, auf diskrete Weise durch den Bug Bounty Programm offen. Im Augenblick, Alle Mängel sind festgelegt.
