信用卡号泄露

medium Web App Scanning 插件 ID 98129

语言：

简介

信用卡号泄露

描述

信用卡号可用于用户能够购买产品和/或服务的应用程序中。

信用卡号是敏感信息，应予以妥善处理。网络攻击者会使用各种方法尝试破坏信用卡信息，然后将这些信息用于欺诈目的。

通过使用已知发行机构编号和 luhn 校验验证，以使用正则表达式和 CC 编号格式验证，扫描程序则可在受影响的页面中发现信用卡卡号。

解决方案

首先，应检查响应中的信用卡号以确保其有效性，因为正则表达式可能匹配了与实际信用卡无关的类似号码。
如果响应中确实包含有效的信用卡号，则应尽一切努力删除或进一步保护此信息。若要实现此目的，请完全删除信用卡号，或掩盖该号码以便在响应中仅显示最后几个数字。（例如 _**********123_）。
此外，信用卡号不应由应用程序存储，除非组织还遵守支付卡行业数据安全标准 (PCI DSS) 中概述的其他安全控制规则。