不被PayPal待见的6个安全漏洞_卜八电脑最全问题故障中心

不被PayPal待见的6个安全漏洞

最近，Cybernews分析人员称，他们发现了和PayPal相关的6个高危漏洞，攻击者利用这些漏洞可以实现：绕过PayPal登录后的双因素认证（2FA）、使用其内部智能聊天系统发送恶意代码。然而就在上报了这些漏洞后，Cybernews遇到了无休止拖延、无人回应、含糊响应和不被重视的情形。以下是Cybernews就发现的6个漏洞进行的说明，抛开是非对错，我们只来围观其技术姿势就好。

漏洞1：登录后的PayPal双因素认证（2FA）绕过

在对 PayPal for Android (v. 7.16.1)的安卓APP分析中，我们发现PayPal对用户手机和邮箱的身份验证存在登录后的2FA认证漏洞。也就是说当攻击者以其它方式获取了受害者的密码凭据实施登录后，由于PayPal判定攻击者使用的手机设备或IP地址与之前受害者的不同，从而会发起一个2FA方式的身份验证，此时，PayPal会通过短信或邮箱发送一个验证码给当前登录的攻击者，只有正确输入该验证码，登录才能继续往下真正有效进入受害者账户。

PayPal的2FA采用了Authflow方式，当用户从新手机、新位置或新IP地址执行账户登录时就会触发2FA验证。在漏洞测试过程中，我们用抓包拦截代理（Charles）观察PayPal APP的具体网络活动，经过一番研究，我们发现了一个提权Token，可以用它来绕过上述登录后的2FA认证。（由于漏洞目前尚未修复，在此不作过多细节描述）

关于该漏洞我们的关注点是：目前黑市中存在大量PayPal用户密码凭据信息泄露，如果恶意攻击者买下这些信息，然后配合上述我们发现的漏洞，就能轻松绕过PayPal登录后的2FA认证，进入受害者账户，对广大PayPal用户的账户安全形成威胁。但是，PayPal却不这么认为，他们在回复邮件中称”这种形为不会导致任何安全问题“（there does not appear to be any security implications as a direct result of this behavior）。

漏洞2：未对手机验证方式实施动态口令

我们分析发现，在PayPal新推出的一个应用系统中，它会检查注册手机号码是否为当前用户账户所持有，如果不是，则会拒绝进一步的登录。在该系统中，当用户用手机号码进行账户注册时，会向PayPal后端服务器api-m.paypal.com执行一个预录式呼叫或短信请求以进行用户状态确认。这里存在的问题是，我们可以更改其中的预录式呼叫确认方式，实现对用户注册绑定手机号码的更改。危害是由于可以不通过短信验证码，很多骗子可以利用该漏洞，绕过电话身份验证，创建欺诈账户。