• 设为首页
  • 点击收藏
  • 手机版
    手机扫一扫访问
    迪恩网络手机版
  • 关注官方公众号
    微信扫一扫关注
    公众号

黑客通过Paypal可传输恶意图像

原作者: [db:作者] 来自: [db:来源] 收藏 邀请

贝宝(PayPal)解决了一个可被黑客用来向支付页面插入恶意图像的漏洞问题。

安全研究员Aditya K Sood发现贝宝用户设置的支付页面的URL中包含一个名为“image_url”的参数。这个参数的值可被指向一张托管在远程服务器上的图片URL所替 代。而这种情况能够允许攻击者使用第三方厂商的贝宝支付页面传播恶意图像。Sood通过在厂商支付页面上展示任意图像的方法证明了该漏洞的存在,不过他认 为攻击者可能会传播隐藏在图像中的恶意软件或利用。

网络犯罪分子一直都使用看起来无害的图像文件隐藏恶意软件。这种技术曾被Lurk下载器、Neverquest恶意软件、Stegoloader信息窃取器以及一个最近由卡巴斯基分析的巴西木马的开发人员使用过。

Sood指出,“这是一种不安全的设计,因为贝宝允许远程用户将属于自己的图像注入到贝宝用于客户交易的组件中。也就是说,攻击者能否通过图像传播恶意软件或利用?答案是肯定的。一些利用技术可实现这一目的。”

攻击者能够通过让未经验证的用户点击特殊编制的链接的方式利用这个漏洞。URL被托管在paypal.com上的事实增加了受害者打开链接的可能性。

这个漏洞于1月份上报给了贝宝,不过在这个月才被修复。贝宝公司起初表示这个报告不具备获取漏洞奖励的资格,不过随后公司决定修复这一漏洞并为Sood颁发了1000美元的奖励。

Sood认为这是一个高风险问题,而且他对贝宝公司不同意他的评估而不满。贝宝回应称,Sood描述的攻击场景不可能发生,因为传播恶意软件有更加简便的方法,此外表示公司正在积极扫描恶意内容。

测腾代码卫士/文

以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持极客世界。


鲜花

握手

雷人

路过

鸡蛋
该文章已有0人参与评论

请发表评论

全部评论

专题导读
热门推荐
热门话题
阅读排行榜

扫描微信二维码

查看手机版网站

随时了解更新最新资讯

139-2527-9053

在线客服(服务时间 9:00~18:00)

在线QQ客服
地址:深圳市南山区西丽大学城创智工业园
电邮:jeky_zhao#qq.com
移动电话:139-2527-9053

Powered by 互联科技 X3.4© 2001-2213 极客世界.|Sitemap