バージョン選択

フォーラム

メニュー

オンライン状況

41 人のユーザが現在オンラインです。 (32 人のユーザが フォーラム を参照しています。)
登録ユーザ: 0
ゲスト: 41
もっと...

サイト内検索

その他 > その他 > 2.17.1 怪しい新会員登録の解決(クレジットマスター攻撃)

その他

新規スレッドを追加する

スレッド表示 | 新しいものから 前のトピック | 次のトピック | 下へ
投稿者 スレッド
kazz_oga
投稿日時: 2020/7/29 17:40
対応状況: 確認中
一人前
登録日: 2013/8/5
居住地: 東京都北区赤羽西
投稿: 144
2.17.1 怪しい新会員登録の解決(クレジットマスター攻撃)
▼テンプレート
[EC-CUBE] 2.17.1
[レンタルサーバ] ローカル
[OS] MacOS 10.15.5
[PHP] 7.4
[データベース] MySQL 5.7
[WEBサーバ] apache 2.4
[ブラウザ] safari
[導入プラグインの有無] EC-CUBEペイメント決済モジュール(2.13系)Version.4.3.32 

[現象]
・会員登録後、Myページ>カード情報編集(change_card.php)に繰り返しアタック
 - 会員の登録情報は、住所が愛知なのに電話番号が03など怪しい
・仮会員登録機能で一時的には収まったが、数日後アタック開始
・カード情報編集(change_card.php)へのアタックなので、クレジットマスター攻撃とみられる
  「このカード番は号使えるかな?』とチェックをしている攻撃

[対策]
EC-CUBEペイメント決済モジュール(2.13系)Version.4.3.32では、時間あたりのアクセスエラー回数を設定することで該当IPアドレスからのchange_card.phpの利用をロックする。
<2.17> 該当のロック機能のメニューが出てこない。
    当サイトでは翌日該当するIPアドレスを.htaccessでアクセス拒否。
    実態はイタチごっこで効果的でない
<2.17.1> 該当のロック機能のメニューが出てきたので、ロック機能を設定
       ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

<2.13>では設定メニューは出ているようですが(提供元に確認)、<2.17>では出ていなかった。
debagerでトレースすると<2.17.1>の修正で出るようになったように見えます。

<2.17.1>への移行動機になると思いますので、報告しておきます。
スレッド表示 | 新しいものから 前のトピック | 次のトピック | トップ


 



ログイン


EC-CUBE公式 Amazon Payプラグイン

統計情報

総メンバー数は88,288名です
総投稿数は109,688件です

投稿数ランキング

1
seasoft
7365
2
468
3217
3
AMUAMU
2712
4
nanasess
2303
5
umebius
2085
6
yuh
1818
7
h_tanaka
1610
8
red
1567
9
mcontact
1240
10
tsuji
958
11
fukap
907
12
shutta
835
13
tao_s
796
14 ramrun 789
15 karin 689
16 sumida 641
17
homan
633
18 DELIGHT 572
19
patapata
502
20
flealog
485


ネットショップの壺

EC-CUBEインテグレートパートナー

Copyright© EC-CUBE CO.,LTD. All Rights Reserved.