新闻链接： http://netsecurity.51cto.com/art/201611/520642.htm
新闻时间： 2016-11-07 09:14
新闻正文： 厉害了，word哥！4步轻松绕过PayPal双重验证机制

双因子认证(2FA)是指结合密码以及实物(信用卡、SMS手机、令牌或指纹等生物标志)两种条件对用户进行认证的方法。这种方法已经为企业所采用，主要用于增加账户的安全性，更好的保护用户的账户安全

双因子认证(2FA)是指结合密码以及实物(信用卡、SMS手机、令牌或指纹等生物标志)两种条件对用户进行认证的方法。这种方法已经为企业所采用，主要用于增加账户的安全性，更好的保护用户的账户安全。

与其他大多数网络服务商一样，PayPal也为用户提供了双重验证的选项。双重验证的一个特点就是：在用户尝试使用用户名和密码登录账户时，服务器会向用户发送一次性的短信验证码来验证手机。用户需要有手机服务才能接收到服务器发送的验证码。如果没有手机信号，那他们就没有办法接收服务器发送的验证码，换句话说，他们就不能通过标准的双重验证模式登录账户。

然而，英国安全研究专家Henry Hoggard还是发现了一个非常简单的方法来绕过PayPal的双重验证机制。绕过双重验证机制后，黑客可以在一分钟内轻松掌控用户的PayPal账户。

这个方法是Hoggard在一家没有手机服务(就是我们说的没有信号)的酒店内偶然发现的。

Hoggard表示，问题出现在“尝试其他方式”这个链接上。PayPal向帐户所有者提供此选项，以便他们在手机没有信号或设备不在身边的情况下，依然可以使用自己的账户。当出现手机无信号或者设备无法连接的情况时，PayPal便要求用户回答密保问题。



Hoggard发现，如果攻击者运行一个代理服务器，就可以拦截和保存PayPal服务器的请求，这使得攻击者能篡改HTTP数据并欺骗PayPal允许攻击者进入被黑账户。

另外，攻击者需要从HTTP请求中删除“securityQuestion0”和“securityQuestion1”参数。这种攻击对攻击者水平要求并不高，基本上属于入门水平的攻击。

具体步骤：

1.Hoggard登录了他的PayPal账户并点击了“try another way”，他收到了来自PayPal的询问，是否允许PayPal发送一次性2SV验证码给他。



2.Hoggard选择回答密保问题，但他并没有用自己设置的唯一密码，而是在提供的文本框中随便输入了一个密码。

3.在此，Hoggard利用代理，从POST数据中去掉了两个密保问题。

    selectOption=SECURITY_QUESTION&securityQuestion0=test&securityQuestion1=test&jsEnabled=1&execution=e2s1&_sms_ivr_continue_btn_label=Continue&_default_btn_lable=Continue&_eventId_continue=Continue

4.然后，发布数据。令人诧异的是，账户居然通过验证了(小编眼睛被辣了，赔钱)。



这是一个真实的案例，并不是在说笑，虽然简单，但非常有用。如果攻击者掌握了受害者的PayPal用户名和密码，他们就可以绕过2SV并登录受害者的账户。

由于这个漏洞具有很大的威胁，Hoggard在今年10月3日将此问题反馈给PayPal，经过缜密的调查后，PayPal已经在10月21日将该漏洞修复。

一般来说，针对各类web服务都应该采用双重认证，以保证进一步的安全性。除此之外， 他们还应该有备选的认证方案，这样，就算在移动设备丢失的情况下，照常能够访问他们的帐户。