dinikin Feb 4 2015 at 11:54

Банальная XSS уязвимость на странице p2p переводов Фидобанка, позволяющая украсть cvv2 код пользователя

2 min

19K

Information Security * Payment systems *

+36

Comments 19

UFO landed and left these words here

dinikin Feb 4 2015 at 13:25

Вы правы, можно сформировать урл таким образом, что при нажатии на кнопку отправки перевода, данные карты отправлялись на сторонний сайт. Но если это по какой-то причине не удастся сделать злоумышленнику, украсть cvv2 ему будет проще

Homakov Feb 4 2015 at 13:21

Если XSS еще можно понять и простить — банк же, ожидаемо что там сидят студенты не слыхавшие ни о HttpOnly ни о Secure флагах для куки.
Но хранить CVV совсем уж фейл и выход из профессии.

UFO landed and left these words here

evgeny_boger Feb 4 2015 at 18:51

Несколько лет назад эквайринг мастер-банка после оплаты пользователем присылал магазину первые 4 цифры номера карточки, последние 4 цифры номера карточки и… md5 от номера карточки. Даже без соли.
Пришлось удостовериться, что ответы не попадают случайно ни в какие логи на сервере.

GraDea Feb 4 2015 at 13:25

То что поле cvv заполняется — не значит, что значение хранится на сервере. Можно использовать localStorage, например.

dinikin Feb 4 2015 at 13:33

К сожалению не могу сейчас проверить, сервер возвращает 500-ю

Homakov Feb 4 2015 at 14:39

>localStorage
>украинский банк

Нет, там в сессии, которая на сервере.

viperet Feb 4 2015 at 13:34

CVV там судя по всему хранится в сессии, заполнил данные, ввел CVV 123, отправил. В другом окне открыл ссылку — CVV заполненый остался, при чем не из localStorage, а прямо HTML прописан. Открыл ссылку в приватной вкладке (или в другом браузере) CVV уже не заполнен.

dinikin Feb 4 2015 at 13:39

Хех, меня банк по IP забанил, 500-ю возвращает, через hidemyass.com сайт грузится нормально

UFO landed and left these words here

WraithOW Feb 4 2015 at 14:42

Хакер заблокирован, клиенты в безопасности. Все ок!

UFO landed and left these words here

webset Feb 4 2015 at 16:34

А вдруг еще что-то найдете?

MyHabrahabr Feb 4 2015 at 17:54

Проверил конфигурацию HTTPS. ВНЕЗАПНО, рейтинг А!

www.ssllabs.com/ssltest/analyze.html?d=pay.fidobank.ua

sslcheck.globalsign.com/ru/sslcheck?host=pay.fidobank.ua#91.208.52.155-srv-reg-cert-ssl-misc

Даже HSTS и SPDY в наличии. Во дают!

Список несущественных проблем:
— Сертификат SHA1
— Не включено OCSP-сшивание (механизм получения состояния сертификата от самого сайта, а не CA)
— Сервер отдаёт предпочтение шифрам на основе длины AES, а не его режима. В результате браузеры, которые не поддерживают 256-битный AEAD GCM (а это все, кроме Android 4.4 и Internet Explorer на Windows 8 / 10), используют 256-битный CBC + MAC, что признано «устаревшей технологией». Сервер должен в первую очередь отдавать предпочтение всем шифрам AEAD GCM.
habrastorage.org/files/65a/b83/603/65ab8360302b4738be7a74db84d8e5cf.png

batment Feb 4 2015 at 20:47

Этой частью скорее всего занимался уже кто-то более квалифицированный.

mtp Feb 5 2015 at 06:05

Странно, что в комментах не упомянули Мицгола.