PayPal是eBay旗下流行的第三方支付產品，類似于國內的支付寶。最近有研究者在其web應用程序中發現了三個高危漏洞，攻擊者可利用這些漏洞控制任意用戶的PayPal賬戶。

[[123804]]

科普：關于跨站請求偽造(CSRF)

跨站請求偽造(CSRF或者叫做XSRF)是攻擊網站的一種方法：攻擊者首先需要誘騙受害者訪問特定的HTML網頁，然后即能偽造受害者身份向存在漏洞的網站發送攻擊請求。

攻擊流程

埃及的安全研究員Yasser H. Ali在PayPal網站上發現了三個高危漏洞，分別是：CSRF(跨站請求偽造)漏洞、繞過身份驗證令牌漏洞和重置安全驗證問題漏洞。

Yasser在下文的視頻中詳細的演示了怎樣利用這3個漏洞組合攻擊受害者：攻擊者通過CSRF漏洞秘密的把自己的郵箱ID關聯到了受害者賬戶上，重置了受害者賬戶上安全驗證問題的答案，最終通過“忘記密碼”控制受害者的PayPal賬戶。

PayPal通常會使用身份驗證令牌檢測來自合法賬戶的正常請求，但是Yasser成功的繞過了Paypal的防護并且執行了漏洞利用(exploit)代碼。

一旦成功執行了漏洞利用代碼，攻擊者的郵件ID就會被添加到受害者的賬戶上，這樣一來攻擊者就可以點擊PayPal網站上的“忘記密碼”選項來重置賬戶密碼了。但此時如果攻擊者不能正確回答用戶注冊時設置的安全問題，他還是不能改變用戶賬戶的原始密碼。

于是Yasser順藤查了下去，發現PayPal上還存在一個重置安全問題和答案的漏洞，最終繞過PayPal安全保護而重新設置受害者賬戶的密碼。

目前PayPal安全小組已緊急修復了這些漏洞。

演示視頻

視頻源地址：https://www.youtube.com/watch?v=KoFFayw58ZQ