PayPal 确认安全漏洞，向道德黑客支付赏金

为了报告可能导致用户密码泄露给黑客的安全漏洞，PayPal 向道德黑客 Alex Brisan 支付了 15300 美元（15,300 美元）的漏洞赏金。 PayPal 公开承认 Brisan 是一名研究人员，发现了该漏洞并向他们报告。

Brisan 于 1 月 8 日报告了该漏洞，然而，PayPal 自 12 月以来已经修复了该故障，但仍奖励了 Brisan。

道德黑客，也称为白帽黑客，是信息安全专家，他们系统地尝试代表其所有者并在获得其许可的情况下渗透计算机系统、网络、应用程序或其他计算资源，以发现恶意黑客可能利用的安全漏洞。

Brisan 在他的公开披露中写道，发生的事情是关于影响 PayPal 访问量最大页面之一的高严重性漏洞的故事，指的是登录表单。他在探索 PayPal 的主要身份验证流程时发现了该漏洞。

PayPal 的漏洞

根据 Brisan 的说法，他的注意力被吸引到一个 JavaScript (JS) 文件包含看起来像跨站请求伪造 (CSRF) 令牌和会话 ID 的事实。Birsan 说，在有效的 javascript 文件中提供任何会话数据，通常允许攻击者检索它。

同样地， PayPal 确认敏感的唯一令牌正在被泄露，这些令牌被用于ReCaptcha实现所使用的JS文件中。在某些情况下，用户在认证后必须解决CAPTCHA挑战，PayPal指出，暴露的令牌被用于解决CAPTCHA的POST请求中。

PayPal还确认，在解决验证码后，用户需要前往另一个（恶意的）网站并输入他们的PayPal凭据。这将使黑客能够完成安全挑战，从而产生身份验证请求重放以显示密码。

PayPal进一步解释说，然而，只有当用户从恶意网站点击登录链接时才会发生这种情况.

道德黑客的连接平台

为了促进网络安全，一个组织， HackerOne，提供了一个平台，将道德黑客与为其软件、服务或产品中发现的漏洞支付奖励的组织连接起来.

据报道，一名黑客设法入侵了 HackerOne 平台本身，并获得了 20000 美元。

除此之外，还有黑客比赛，鼓励道德黑客参与寻找可能的安全漏洞。其中一项 Pwn2Own 黑客比赛将于 3 月举行，任何能够入侵特斯拉 Model 3 电动汽车的人将获得 700000 美元和一辆全新的特斯拉 Model。

苹果也确认，任何破解iPhone的人都将获得150万美元的奖励。

精选图片由 Pixabay提供