黑客通过Paypal可传输恶意图像
发布时间：2016-06-29 15:24:20 作者：佚名 
我要评论
我要评论PayPal解决了一个可被黑客用来向支付页面插入恶意图像的漏洞问题，对黑客漏洞感兴趣的小伙伴们可以参考一下
（福利推荐：你还在原价购买阿里云服务器？现在阿里云0.8折限时抢购活动来啦！4核8G企业云服务器仅2998元/3年，立即抢购>>>：9i0i.cn/aliyun）
贝宝（PayPal）解决了一个可被黑客用来向支付页面插入恶意图像的漏洞问题。
安全研究员Aditya K Sood发现贝宝用户设置的支付页面的URL中包含一个名为“image_url”的参数。这个参数的值可被指向一张托管在远程服务器上的图片URL所替 代。而这种情况能够允许攻击者使用第三方厂商的贝宝支付页面传播恶意图像。Sood通过在厂商支付页面上展示任意图像的方法证明了该漏洞的存在，不过他认 为攻击者可能会传播隐藏在图像中的恶意软件或利用。
网络犯罪分子一直都使用看起来无害的图像文件隐藏恶意软件。这种技术曾被Lurk下载器、Neverquest恶意软件、Stegoloader信息窃取器以及一个最近由卡巴斯基分析的巴西木马的开发人员使用过。
Sood指出，“这是一种不安全的设计，因为贝宝允许远程用户将属于自己的图像注入到贝宝用于客户交易的组件中。也就是说，攻击者能否通过图像传播恶意软件或利用？答案是肯定的。一些利用技术可实现这一目的。”
攻击者能够通过让未经验证的用户点击特殊编制的链接的方式利用这个漏洞。URL被托管在paypal.com上的事实增加了受害者打开链接的可能性。
这个漏洞于1月份上报给了贝宝，不过在这个月才被修复。贝宝公司起初表示这个报告不具备获取漏洞奖励的资格，不过随后公司决定修复这一漏洞并为Sood颁发了1000美元的奖励。
Sood认为这是一个高风险问题，而且他对贝宝公司不同意他的评估而不满。贝宝回应称，Sood描述的攻击场景不可能发生，因为传播恶意软件有更加简便的方法，此外表示公司正在积极扫描恶意内容。
测腾代码卫士/文
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持程序员之家。
相关文章
路由器被黑客蹭网后有什么危害？路由器被恶意陌生人连接后怎么办？
大家有没想过这样一个问题：路由器被黑客蹭网后，对用户会产生什么危害？或者路由器被恶意的陌生人连接后，他们能做什么？下面介绍下路由器被蹭网有哪些危害以及黑客能做些2016-06-22- 防止黑客程序或恶意代码非法格式化、修改硬盘数据可以将有关的DOS命令改名或移动到其他目录中，或者是将危险的DOS命令加以限制，防止非法使用这些命令对硬盘数据进行破坏2014-04-10
- Linux核心本身内建了一种称作”伪装”的简单机制，除了最专门的黑客攻击外，可以抵挡住绝大部分的攻击行动2013-06-24
- 在Linux中，由于有许多不同的防火墙软件可供选择，安全性可低可高，最复杂的软件可提供几乎无法渗透的保护能力。不过，Linux核心本身内建了一种称作”伪装”的简单机制，除2013-04-17
- 1．桌面漏洞 Internet Explorer、Firefox和Windows操作系统中包含很多可以被黑客利用的漏洞，特别是在用户经常不及时安装补丁的情况下。黑客会利用这些漏洞在不经用2008-10-08
- 江民反病毒中心提醒电脑用户，微软于美国时间5月28日发布公告，称其操作系统存在一个DirectShow漏洞，该漏洞可能被黑客大肆利用，传播大量的木马病毒。 江民反病毒专家介2009-06-08
- 应用程序级的安全漏洞通常不会像类似SirCam的邮件病毒或者诸如Code Red这样的蠕虫病毒那么容易广为扩散，但它们也同样会造成很多问题，从窃取产品或信息到使整个Web站2009-05-24
- 日常使用中，IE庞大的使用人群和层出不穷的高危漏洞，使它往往很容易受到来自各方面的影响和攻击而导致失效。而由于卸载的不便和难以通过覆盖安装解决问题，因此很多朋友在2009-01-10
- 一、看见漏洞公告 最近想学习一下文件包含漏洞，在无意中看见了关于文件包含的漏洞公告。大致的意思是这样的，PhpwCMS 1.2.6系统的下列文件存在文件包含漏洞：includ2008-10-08
- 前言： MS07-029，Windows 域名系统 (DNS) 服务器服务的远程过程调用 (RPC) 管理接口中存在基于堆栈的缓冲区溢出。漏洞的前提是没打补丁，开启DNS服务的所有版本WINDOWS2008-10-08
最新评论