[视频]黑客演示PayPal远程代码执行漏洞

 

一名独立安全研究人员发现了远程代码执行漏洞，米兰A索兰基，已被漏洞实验室CVSS计数为9.3，影响了PayPal的营销在线服务web应用程序。

 

该漏洞存在于Java调试线协议（JDWP）协议PayPal的在线营销服务web服务器。

 

成功利用PayPal漏洞可能导致针对目标系统未经授权执行特定于系统的代码，从而在没有任何权限或用户交互的情况下完全危害公司的web服务器。

 

JDWP是一种协议，用于调试器与其调试的Java虚拟机之间的通信。它是Java平台调试器体系结构（JPDA）的一层。

 

然而，JDWP不使用任何身份验证，但可能被黑客滥用，在受影响的Web服务器上远程执行任意代码。

 

索兰基还提供了一份概念验证视频 来演示一下实际的黑客行为。他使用Github的jdwp-shellifier工具扫描营销网站，发现开放的端口8000。

打开的端口8000使他能够在没有任何身份验证的情况下建立与服务的连接，该身份验证允许他以root权限执行服务器端代码。这不过是对远程代码执行漏洞的成功利用。

 

Solanki向Paypal开发团队报告了该漏洞，该团队在收到安全研究人员的详细信息后四天内修复了该漏洞，没有任何长时间的延迟。