PHP ile Kullanılan Paypal Apisinde Üst Derece Kritik Açık

Question

Şuan Hemen hemen Tüm Sunucu Şirketlerinin Kullandığı paypal Apisinde güncel Bir Açık mevcut Bu açık Gönderimi scripti Bloke edip yerine benim istediğim ürün fiyatını girmeye yarıyor yani Sizin ürününüz 50$ ise scripte müdahile ile gönderim blokesi yaptıgımda sahte rakam 00.01$ olarak ayarlanıyor paypala veri yollayabiliyorum paypaldan geri cevap geleceği sırada blokeyi kaldırıyorum ve tekrar sizin sunucunuza yanıt gonderiliyor fakat 00.01$ olarak odeme yapmış oluyorum.

konu biraz uzun bu yüzden detaylı bir makale ve video hazırlıyorum ileriki zamanda bu konu için bilgilendirme yazmaya çalışacagım arkadslar bilinen 10 farklı şirkette deneme yaptım ve tümünde çalıştı..
konunun çözümü korunma yollarınıda makalede belirteceğim.

Açığın Tamamen yayılmaması ve Kötü Kişilerce Kullanılmaması için Kesinlik içeren Detayını Belirtmeyeceğim

tüm meslektaşlarıma iyi çalışmalar dilerim.

Not:
Eyer Bu açığı Sunucusunda test Etmek isteyen Arkadslar var ise yardımcı olacağım 

Not: 
Açık Sadece Sabit Değişken olamayan rakamlarda geçerli 
platform : webprogramlama
Çözüm   : Web Yazılım Dilinde bir çözüm bulamadım ssl dahil olsada açık çalışıyor "Paypala Rapor Edildi"  
Kendi Buldugum Geçici çözüm : "Adobe Flash  Api" açık işlemiyor..

Seyranli · Answer

Bu açık çok önceden de vardı. Demek ki hala kapatmamışlar. Bu da demek oluyor ki, kolay kolay kapatamıyorlar.

table · Answer

buna paypalın yapabileceği birşey yok, bende gördüm de az önce

YunusPhp · Answer

Ssl olan sitelerde çalışmıyor (Örnek : Paypal express check out)

YunusPhp · Answer

Gold üyelik nasıl alıyoruz?

sezgin · Answer

EDİT!


Evet açık tahmin ettiğim şekildeymiş. Fakat bu %90 da yazılımcının hatası. 
Nasıl jquery de browser tarafında form kontrolu yapıyor, kullanıcıya güvenmeyerek php'de de aynı kontrolu 2. kez yapıyorsak...

Aynı şey işte  yazılımcı hatası büyük bir kısmı bir an önce düzeltirler umarım

tr16 · Answer

Alıntı										"iSoTurK" 		katılıyorum hocam tamamen paypal kaynaklı değil fakat açık olan kısım hem paypaldan siteye hem siteden paypala işliyor her iki tarafında kullandıgı bir protokolde acıkvar gerekli reporumu gonderdim fakat henuz bir yanıt gelmedi

iSoTurK · Answer

aslında açık kafamda çağrıştı ama kurcalıcak vaktım yok  yöntemlerde   aklımdaki yöntemse zaten  bunun yapılması  çok normalki bu tip açıklar facebook messenger ve pek çok  büyük sitelerdede  zamanında var olan açıklar  yukarıda arkadaşın da dediği gibi criptolama yöntemi ya yokdur yada yapılmışsada  bunu çözmenin  bir yolu bulunmuş demekdirki bu açık tamamen  paypal kaynaklı oldugunu düşünüyorum.

tr16 · Answer

Alıntı										"Seyranli" 		 tamamen kaza eseri keşvettim diyebilirim programlama esnasında oldu ben yine bilgilendirme olarak yazmak istedim hocam flash apilerinde durum işlemediğini gözlemledim. 
yorumunuz için teşekkurler

Seyranli · Answer

Valla hocam bilmiyorum ama ben 1-2 yıl öncesinden biliyorum bu 0.01 dolar olayını. Farklı bir yol mudur bilmem yaptığınız ama criptolanmamış içeriğin bu şekilde değiştirilmesi çok normal. buna önlemi paypal'ın alması gerekiyor.

tr16 · Answer

Alıntı										exUBert 		 Şuan Gözlemlediğim açıkta $50 görünebilir istenirse $0 hatta borçlu bile cıkabilirsiniz rakamla oynanabiliyor

						Alıntı										Seyranli 		Mevcut bilenen ve internete yayılmıs acıklardan biri değil yeni nesil hocam

--R10.NET; Flood Engellendi -->-> Yeni yazılan mesaj 21:32:25 -->-> Daha önceki mesaj 21:13:17 --

						Alıntı										ALEXIS 		Hocam Sitenizde Açık Mevcut Test ettim
fakat bu sizi endişelendirmesin çünkü bütün servislerde işliyor maalesef iyi tarafı kimse bilmiyor ve hemen report ettim yakında kapatacaktırlar.

GEÇİCİ ÇÖZÜM OLARAK FLASH API LERINI KULLANABILIRSINIZ

fRtkmR · Answer

exUBert adlı üyeden alıntı:						mesajı görüntüle									Bu açık paypal taraflı mı? Entegre edilmiş sistemlerdeki kod kaynaklı sorunlardan ötürü mü?
50$'lık ürünü 0.01$ gibi ödeyerek 50$ ödenmiş gibi mi geri dönüş oluyor api üzerinden? 		Aynen öyle.. aslında bende bi açık biliyorum ama sorunun temel kaynağını bulamadım , benim bulduğum açık 3D Sec ödemelerinde, bunuda şansa tespit ettim ama tabi gizlilik ve kötü kullanım açısından kimseyle paylaşmadı :X

exUBert · Answer

Bu açık paypal taraflı mı? Entegre edilmiş sistemlerdeki kod kaynaklı sorunlardan ötürü mü?
50$'lık ürünü 0.01$ gibi ödeyerek 50$ ödenmiş gibi mi geri dönüş oluyor api üzerinden?

tr16 · Answer

Alıntı										BilgeForum 		Size bir bilgilendirme mesajı gönderdim hocam

BilgeForum · Answer

Bende paypal kullaniyorum sitemde. Bana nasil kapatacagimla ilgili mesaj yazabilirmisiniz?

tr16 · Answer

Özel mesaj ile Açığın nasıl yapıldıgını istemeyiniz Arkadaşlar böyle birşeyi söyleyip bir sürü insanın hakkına girmek hata olur... 
önemli olan yıkıcı değil yapıcı olmaktır 

Nasıl Kapatılabileceği üstünde Çalışma Yapıyorum Şuan dostlar
İlk aşamada Bulduğum yöntem "Adobe Air ve Criptolanmış flash içerikli" gönderme Apileri bu apilerde Yöntem Çalışmıyor Yapabilen arkadslarım Sitelerini bu yonde Güncelleyebilirler..

--R10.NET; Flood Engellendi -->-> Yeni yazılan mesaj 19:25:27 -->-> Daha önceki mesaj 19:21:43 --



						Alıntı										"SEOPro" 		Yönetime Açığı bildirdim Merak etmeyin Bu konuyu Başka bilen biri yok şuan herhangi bir bilgi vermiyorum kimseye güvenlik sorunu olusturmaması için

Ayrıca r10 değil "Hostgator,zygna," gibi buyuk firmalar ustunde denedim tümünde çalıştı ve firmalara mail gönderdim...

başka biri bulmadıgı surece sorun teşgil etmiyor.

						Alıntı										"Doc.Deniz" 		Evet Arkadsım Paypala Detaylı Bir mail ve nasıl yaptıgımı içeren bir mesaj gönderdim dün gece

--R10.NET; Flood Engellendi -->-> Yeni yazılan mesaj 19:32:58 -->-> Daha önceki mesaj 19:25:27 --

Alıntı										iSoTurK 								Alıntı										sen bu açığı sağ a sola sölicene paypala söyle büyük ödül alırsın yada kimseye söleme açığı kullan... 		Söz Konusu Değil hocam biran önce açığı kapatacak kodları yazıp yayınlamayı dusunuyorum suan

SEOPro · Answer

ya paypalı bırakın ; adamlar r10da bedava gold alırlar şimdi

Doc.Deniz · Answer

PayPal'a yazdın mı?

LadyArch3r · Answer

Bende takipteyim çok şaşırdım

iSoTurK · Answer

konuyu takipdeyim 

edit:
sen bu açığı sağ a sola sölicene paypala söyle büyük ödül alırsın yada kimseye söleme açığı kullan...

tr16 · Answer

r10.net
1 YILLIK GOLD MEMBER

						Alıntı										Item Title:Gold Üyelik Subscription
Item Number:1d0c7bee554a633b********
Date:08.10.2012
Time:05:48:20 GMT+03:00
Status:Completed 

Shipping Address:No Address Provided


Funding Type:PayPal Funds
Funding Source:$0,01 USD - PayPal Account 		R10 Yönetimine Açığı Bildirdim Şuan Tüm Servislerde bu açık işliyor maalesef

hzarali · Answer

paypal alacaktım daha böyle bir şeyi aklımdan bile geçirmem

yulet · Answer

ata350 adlı üyeden alıntı:						mesajı görüntüle									Paypal gibi b&#252;y&#252;k bir d&#252;nya firmasının, bu kadar basit bir a&#231;ığa g&#246;z yumacağını sanmıyorum  		Basit ?

Sent from my Nokia 3310

ata350 · Answer

Paypal gibi büyük bir dünya firmasının, bu kadar basit bir açığa göz yumacağını sanmıyorum