Internetsicherheit: Paypal musste von Leck erst überzeugt werden
Zwei junge Hacker haben Paypal gezeigt, wie man einen Webserver richtig konfiguriert. Die Sicherheitslücke war groß, die Firma reagierte trotzdem träge.

Millionen Menschen vertrauen dem Zahlungsdienstleister Paypal ihr Geld an und verschicken darüber mehr als 40 Milliarden Dollar im Quartal. Paypals Website ist der Zugang zu ihren Konten. Die Sicherheit dieser Website sollte für das Unternehmen daher an erster Stelle stehen. Dass selbst so große und so verletzliche Netzdienste bei der Technik Fehler machen, haben dem Unternehmen gerade zwei junge Männer gezeigt.
- Internetsicherheit: Paypal musste von Leck erst überzeugt werden
- Monatelang nicht beseitigt
Sebastian Neef und Tim Schäfers betreiben die Seite Internetwache.org. Neef studiert Informatik, Schäfers macht gerade Abitur. Beide interessieren sich für Internetsicherheit und haben sich darauf spezialisiert, Sicherheitslecks in Websites zu suchen und darauf hinzuweisen.
Paypal ist ihnen nicht zum ersten Mal aufgefallen, sie fanden vor einiger Zeit schon einmal ein Problem. Auf einer Unterseite des Dienstes wurde eine veraltete Wordpress-Installation genutzt, die Lücken enthielt. Im Vergleich zu dem, was sie noch entdeckten, war das aber Kleinkram.
Monatelang konnten die beiden auf den Server von Paypal zugreifen und dort Dateien auslesen und herunterladen. Unter Umständen, sagen Neef und Schäfers, hätten sie den Server sogar komplett übernehmen können.
PHP-Script schlecht implementiert
Im Dezember vergangenen Jahres entdeckte Neef das Problem. Routinemäßig schaute er den Quelltext von Websites an. Im Quelltext von www.paypal.com fiel ihm etwas auf. Dort war ein Script eingebaut, um Dateien vom Server nachzuladen und auf der Website einzubinden. Eigentlich brauchen solche PHP-Scripts Grenzen, klare Parameter, was sie laden dürfen und was nicht. Das von Paypal hatte diese Grenzen nicht, es durfte sich alles vom Server holen.
In ihrem Blog schreiben die beiden dazu: "Die Sicherheitslücke entdeckten wir im Quelltext einer Paypal-Seite, denn dort wurde auf die Paypal API zugegriffen, um Dateien vom Server herunterzuladen und in die Seite einzubinden."
Neef sah das Problem sofort. Die Lücke ist bekannt, sie hat sogar einen Namen: Path-Traversal oder auch Directory-Traversal. Mit Raten und Ausprobieren können sich Angreifer damit den Dateipfad entlanghangeln, an die Dateien auf dem Server gelangen und so Stück für Stück nachschauen, welche Informationen dort liegen und diese herunterladen. Den beiden von der Internetwache gelang es beispielsweise, eine Datei namens passwd herunterzuholen, die zu den Systemdateien gehört.
In der Datei standen keine Passwörter, aber an dieser Stelle hörten sie auf und informierten Paypal. "Wir hätten mehr herunterladen können", sagt Schäfers. "Das waren die Root-Server, da läuft alles drüber. Wir hätten den gesamten Quellcode von Paypal auslesen können." Doch sie sind white hats - gute Hacker. Sie wollen nichts kaputt machen, sondern nur zeigen, dass es theoretisch möglich ist. Was es nicht leichter macht, die Betroffenen zu überzeugen, dass sie ein Problem haben.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
Monatelang nicht beseitigt |
- 1
- 2
klarer fall von "zu viele köche verderben den brei" imo ... requirements-engineer...
obviously mal ganz davon abgesehen warum man eine js-datei überhaupt über ein server...
genau
Ist wie bei den Kernkraftwerken, wenn wieder eins kaputt geht, bei denen besteht auch...