Можно ли украсть банковские карты клиентов с сайта на MODX?


На Хабре вчера появилась статья про то, как внедрив JS код на страницы сайта можно украсть данные пользователей (в том числе и банковские карты). Я пробежался по сайтам заказчиков, к которым на данный момент имею доступ и на 1 из 5 сайтов был обнаружен код сниффера ReactGet. Естественно, я удалил вредоносный код, о чём сообщил владельцу сайта.
В целях конфиденциальности, я не буду указывать адрес сайта, об этом меня попросил его владелец.

Да, хотя в статье нет ни слова о MODX, это не говорит о том, что он не подвержен заражению. К слову сказать, данный ИМ совсем недавно только обновили с версии 2.3 до 2.7, поэтому угроза заражения была достаточно велика.

Тем не менее, всем разработчикам предлагаю проверить свои сайты на подобную угрозу. Ну и пишите в комментах, удалось ли что-то обнаружить.
Павел Гвоздь
Павел Гвоздь
15 мая 2019, 10:32
modx.pro
2 217
+3
Поблагодарить автора Отправить деньги

Комментарии: 7

Іван Клімчук
Іван Клімчук
15 мая 2019, 10:59
+9
Эм, а зачем на сайте запрашивать данные карты? Ну я к тому, что есть системы оплаты, которые проходят сертификацию и аудит по PCI DSS и которым можно доверять (больше чем сайту) и все платежи обрабатывать путем отправки пользователя на эти страницы, не процеся у себя ничего.
    Павел Гвоздь
    Павел Гвоздь
    15 мая 2019, 12:23
    0
    А где я написал, что на сайте платежные данные запрашиваются? На Хабре например написано, что данный сниффер внедряясь на сайт крадет данные с платежки Stripe. К слову, на сайте именно через него платежи и проходят.
      Іван Клімчук
      Іван Клімчук
      15 мая 2019, 12:26
      +1
      Так вот со Stripe и беда, потому что они дают просто виджет на JS, который нужно впиндюрить на свой сайт, а там хоть и iframe, снифать не проблема ввод с клавы. В случае перехода на защищенную страницу такой проблемы нет.
        Павел Гвоздь
        Павел Гвоздь
        15 мая 2019, 12:29
        0
        Это да. Так многие платежки делают до сих пор. Другой вопрос, что заказчику проще пройти проверку на Stripe, ибо туда берут почти всех.
      Николай
      Николай
      15 мая 2019, 12:35
      0
      Тоже всегда задавался вопросом, почему данные карты я должен вбивать на каком-то левом сайте, а не на сайте сбера, например. Ведь по сути то данные карт могут и владельцы сайтов скомуниздить, ссылаясь потом на снифер и проделки хаккеров. Такие простые мысли приходят мне, но почему-то не приходят тем, кто проектирует эти вещи… Наводит на смутные мысли, что подобные бэкдоры оставляются специально.
      Андрей Степаненко
      Андрей Степаненко
      15 мая 2019, 13:30
      0
      RbkMoney сейчас тоже даёт подобный виджет.
      Ввод с клавиатуры походу можно аналогично отследить.
        Сергей Шлоков
        Сергей Шлоков
        15 мая 2019, 20:30
        3
        +2
        Статья в стиле профессиональных журналистов. Заголовок об одном, статья о другом. И в итоге — «есть ли жизнь на Марсе или не жизни на Марсе, науке не известно». )

        Ну так можно украсть?
        Хоть бы слово сказал, где был этот сниффер. Т.е. загружался откуда то или файл был залит на сервер? Это разные вектора атаки.

        Вообще, тема безопасности будет подниматься всё чаще. Информатизация общества. Интел опять заявил о дырке в процессоре. На хабре попадалась статья про расширения браузера, сливающие данные. А ещё недобросовестные разработчики — недавно Николай Ланец выкладывал ссылку про очень известное дополнение для Node.js, которое воровало биткоины. Плюс огромная армия младоразработчиков, которые умудряются оставлять дырки даже в статических файлах или устраиваются работать в крутые студии. И в результате видим такое. Да даже Facebook хранил пароли в открытом виде.
        Самая главная уязвимость — человек. )

        П.С. Оставлю тут, может кому пригодится.
          Авторизуйтесь или зарегистрируйтесь, чтобы оставлять комментарии.
          7