Internetsicherheit: Paypal musste von Leck erst überzeugt werden
Paypal-Schließfächer bei einem Musikfestival (Bild: Glenn Chapman/AFP/Getty Images)

Internetsicherheit Paypal musste von Leck erst überzeugt werden

Zwei junge Hacker haben Paypal gezeigt, wie man einen Webserver richtig konfiguriert. Die Sicherheitslücke war groß, die Firma reagierte trotzdem träge.

Anzeige

Millionen Menschen vertrauen dem Zahlungsdienstleister Paypal ihr Geld an und verschicken darüber mehr als 40 Milliarden Dollar im Quartal. Paypals Website ist der Zugang zu ihren Konten. Die Sicherheit dieser Website sollte für das Unternehmen daher an erster Stelle stehen. Dass selbst so große und so verletzliche Netzdienste bei der Technik Fehler machen, haben dem Unternehmen gerade zwei junge Männer gezeigt.

Sebastian Neef und Tim Schäfers betreiben die Seite Internetwache.org. Neef studiert Informatik, Schäfers macht gerade Abitur. Beide interessieren sich für Internetsicherheit und haben sich darauf spezialisiert, Sicherheitslecks in Websites zu suchen und darauf hinzuweisen.

Paypal ist ihnen nicht zum ersten Mal aufgefallen, sie fanden vor einiger Zeit schon einmal ein Problem. Auf einer Unterseite des Dienstes wurde eine veraltete Wordpress-Installation genutzt, die Lücken enthielt. Im Vergleich zu dem, was sie noch entdeckten, war das aber Kleinkram.

Monatelang konnten die beiden auf den Server von Paypal zugreifen und dort Dateien auslesen und herunterladen. Unter Umständen, sagen Neef und Schäfers, hätten sie den Server sogar komplett übernehmen können.

PHP-Script schlecht implementiert

Im Dezember vergangenen Jahres entdeckte Neef das Problem. Routinemäßig schaute er den Quelltext von Websites an. Im Quelltext von www.paypal.com fiel ihm etwas auf. Dort war ein Script eingebaut, um Dateien vom Server nachzuladen und auf der Website einzubinden. Eigentlich brauchen solche PHP-Scripts Grenzen, klare Parameter, was sie laden dürfen und was nicht. Das von Paypal hatte diese Grenzen nicht, es durfte sich alles vom Server holen.

In ihrem Blog schreiben die beiden dazu: "Die Sicherheitslücke entdeckten wir im Quelltext einer Paypal-Seite, denn dort wurde auf die Paypal API zugegriffen, um Dateien vom Server herunterzuladen und in die Seite einzubinden."

Neef sah das Problem sofort. Die Lücke ist bekannt, sie hat sogar einen Namen: Path-Traversal oder auch Directory-Traversal. Mit Raten und Ausprobieren können sich Angreifer damit den Dateipfad entlanghangeln, an die Dateien auf dem Server gelangen und so Stück für Stück nachschauen, welche Informationen dort liegen und diese herunterladen. Den beiden von der Internetwache gelang es beispielsweise, eine Datei namens passwd herunterzuholen, die zu den Systemdateien gehört.

In der Datei standen keine Passwörter, aber an dieser Stelle hörten sie auf und informierten Paypal. "Wir hätten mehr herunterladen können", sagt Schäfers. "Das waren die Root-Server, da läuft alles drüber. Wir hätten den gesamten Quellcode von Paypal auslesen können." Doch sie sind white hats - gute Hacker. Sie wollen nichts kaputt machen, sondern nur zeigen, dass es theoretisch möglich ist. Was es nicht leichter macht, die Betroffenen zu überzeugen, dass sie ein Problem haben.

Monatelang nicht beseitigt 

YoungManKlaus 19. Sep 2013

klarer fall von "zu viele köche verderben den brei" imo ... requirements-engineer...

YoungManKlaus 19. Sep 2013

obviously mal ganz davon abgesehen warum man eine js-datei überhaupt über ein server...

caso 19. Sep 2013

genau

LordSiesta 19. Sep 2013

Ist wie bei den Kernkraftwerken, wenn wieder eins kaputt geht, bei denen besteht auch...

Endwickler 19. Sep 2013

Sach mal, äh, bist du ein absoluter Forenneuling? Hier gibt man nie!! Antworten. Wo...

Kommentieren



Anzeige

  1. Global Solutions Architect - Medical (m/w)
    Kontron Europe GmbH, Augsburg
  2. (Senior) IT-Administrator / Systemadministrator (m/w)
    dgroup GmbH, Hamburg
  3. Spezialist / Spezialistin IT-Revision
    Bremer Landesbank, Bremen
  4. Software-Entwickler (m/w)
    DiIT AG, Krailing bei München

 

Detailsuche


Folgen Sie uns
       


  1. Voltair

    Googles Qt-5-Spiel für Android

  2. Smartphone-Hersteller Xiaomi

    Wie Apple, nur anders

  3. CockroachDB

    Die Datenbank, die alles überleben soll

  4. Samsung

    Galaxy Note 2 erhält Update auf Android 4.4.2

  5. Sicherheit

    Apple dementiert Hintertüren in iOS

  6. Robotik

    Die Hand bekommt einen sechsten und siebten Finger

  7. Soziales Netzwerk

    Speichern zum Späterlesen bei Facebook

  8. Black-Hat-Konferenz

    Vortrag über Tor-Sicherheitsprobleme zurückgezogen

  9. Auftragshersteller

    Apple lässt 80 Millionen größere iPhones herstellen

  10. iTunes 12 und Yosemite Beta 4

    Alles wird flach geklopft



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Luftfahrt: Die Rückkehr der Überschallflieger
Luftfahrt
Die Rückkehr der Überschallflieger
  1. Verkehr FBI sorgt sich um autonome Autos als "tödliche Waffen"
  2. Steampunk High Tech trifft auf Dampfmaschine
  3. Aerovelo Eta Kanadier wollen mit 134-km/h-Fahrrad Weltrekord aufstellen

Icann: Top-Level-Domains als Riesengeschäft
Icann
Top-Level-Domains als Riesengeschäft
  1. Anhörung zu Internet Governance Das Netz ist unbeherrschbar wie der Dschungel
  2. Internet Governance Das Märchen vom Multistakeholderismus
  3. Netmundial-Konferenz Netzaktivisten frustriert über "Farce" der Internetkontrolle

Destiny angespielt: Schöne Grüße vom Master Chief
Destiny angespielt
Schöne Grüße vom Master Chief
  1. Bungie Drei Betakeys für Destiny
  2. Activison Destiny ungeschnitten "ab 16" und mit US-Tonspur
  3. Bungie Destiny läuft auch auf der Xbox One in 1080p mit 30 fps

    •  / 
    Zum Artikel