使用Paypal注意了，小心被黑客劫持攻击

最后更新：2022.06.08

PayPal是一个总部在美国加利福尼亚州的全球在线支付服务商。主要可以用于国际用户之间的转账、付款或收款。它是倍受全球亿万用户追捧的国际贸易支付工具，可以即时支付，即时到账。很多电子商务网站把它作为货款支付方式之一，PayPal会从中收取一定数额的手续费。我们常用的海淘APP例如AC派、55海淘就可以用PayPal支付。

不过，有一名研究人员发现Paypal网站端点含有安全漏洞，让攻击者能将Paypal用户导向恶意网站以窃取帐密并盗转帐户资产，目前该漏洞已经修补，研究人员也获得漏洞奖励奖金。

Paypal网站被发现，有个端点paypal.com/agreements/approve，可被用来进行点击劫持。攻击者可将有问题的端点包在iFrame中，使受害者以浏览器登入，就能获取用户Paypal帐密，然后就能够将用户Paypal财产转到攻击者持有的Paypal帐号，或是利用受害者的帐号支付任何服务费用。

点击劫持是一种攻击手法，攻击者在网页中将恶意代码等隐藏在看似无害的网页内容中，例如加一层或好几层透明层，再诱使用户点击他们以为的合法功能如按键或连接，旨在将用户导向恶意网站以泄露帐密敏感信息或下载恶意程序。这种手法又被称为使用者界面伪装（UI redressing）。

点击劫持是视觉欺骗，用户只看到了底层页面，与页面进行交互时却是与上层页面在交互。这是由于透明的iframe造成的，通过控制iframe的位置，导致上层页面的按钮等覆盖到下层上。

点击劫持作为其中作案成本最低、效率最高的流量劫持手段，已经发展出了多个技术分支。主要有以下几种：

广告堆叠Ad Stacking：广告堆叠指的是不法分子将多个广告在单个广告位中彼此叠加，一旦用户点击了表层广告，就会为所有叠加的广告创造点击数据。

Android 内容提供商劫持Content Provider Exploit: 这种劫持一般发生在Google Play Store的用户点击流程中。当用户点击安装一个新应用时，Google Play Store 会将用户安装数据储存到 Content Provider 中，而这些信息一旦被不法分子抓取，他们会利用 Content Provider 的特定URL来伪造一直在后台运行的通知信息notifications，并借此劫持用户后续点击行为。

广播劫持 Referrer Broadcast: 广播劫持与Content Provider Exploit方式相似，不过广播劫持的是应用安装完成后的广播信息，以次注入点击。

如果你想要学习更多专业的攻防知识，可以联系我们网盾网络安全培训中心。