paypal是什么？paypal解决了插入恶意图像的漏洞问题

贝宝（PayPal）解决了一个可被黑客用来向支付页面插入恶意图像的漏洞问题。

PayPal 是为跨国买卖发送和接收付款最方便、最安全的方法。而且，它的多币种功能使您可以向买家提供十六种不同货币的付款选择。比起上银行或者填写并邮寄纸制支票，PayPal 要省时得多。而且支票要用几天时间才能清算，PayPal 则可以即时清算。

安全研究员Aditya K Sood发现贝宝用户设置的支付页面的URL中包含一个名为“image_url”的参数。这个参数的值可被指向一张托管在远程服务器上的图片URL所替 代。而这种情况能够允许攻击者使用第三方厂商的贝宝支付页面传播恶意图像。Sood通过在厂商支付页面上展示任意图像的方法证明了该漏洞的存在，不过他认 为攻击者可能会传播隐藏在图像中的恶意软件或利用。

网络犯罪分子一直都使用看起来无害的图像文件隐藏恶意软件。这种技术曾被Lurk下载器、Neverquest恶意软件、Stegoloader信息窃取器以及一个最近由卡巴斯基分析的巴西木马的开发人员使用过。

Sood指出，“这是一种不安全的设计，因为贝宝允许远程用户将属于自己的图像注入到贝宝用于客户交易的组件中。也就是说，攻击者能否通过图像传播恶意软件或利用？答案是肯定的。一些利用技术可实现这一目的。”

攻击者能够通过让未经验证的用户点击特殊编制的链接的方式利用这个漏洞。URL被托管在paypal.com上的事实增加了受害者打开链接的可能性。

这个漏洞于1月份上报给了贝宝，不过在这个月才被修复。贝宝公司起初表示这个报告不具备获取漏洞奖励的资格，不过随后公司决定修复这一漏洞并为Sood颁发了1000美元的奖励。

Sood认为这是一个高风险问题，而且他对贝宝公司不同意他的评估而不满。贝宝回应称，Sood描述的攻击场景不可能发生，因为传播恶意软件有更加简便的方法，此外表示公司正在积极扫描恶意内容。

测腾代码卫士/文

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持驱动管家。