# Extrem viele Bestellungen über Paypal Express (BUG oder BOT-Attack?) **URL:** \ **Category:** Shopware 5\ **Created:** [8. Oktober 2024 um 14:01 UTC](https://forum.shopware.com/t/extrem-viele-bestellungen-ueber-paypal-express-bug-oder-bot-attack/105448 "2024-10-08T14:01:02Z")\ **Posts on this page:** 5\ **Page:** 1
**Author:** ![Murmeltier](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/murmeltier/32/16126_2.png) [@Murmeltier](https://forum.shopware.com/u/Murmeltier)\ **Post date:** [8. Oktober 2024 um 14:01 UTC](https://forum.shopware.com/t/extrem-viele-bestellungen-ueber-paypal-express-bug-oder-bot-attack/105448/1 "2024-10-08T14:01:02Z")
Hallo zusammen! Wir hatten gestern recht viele & merkwürdige Bestellungen von der gleichen IP-Adresse, die alle über Paypal Express liefen (Standard Shopware Paypal Plugin v 6.1.10). Das Ganze sieht für mich nach einem Angriff aus. Bei den Bestellungen wurde immer ein Artikel 12 mal in den Warenkorb gelegt und über Paypal Express bezahlt und so stellt sich das im access\_logs da: **Endpunkt und Methode** : `46.5.228.xxx - - [07/Oct/2024:20:28:24 +0200] "GET /widgets/PaypalUnifiedV2ExpressCheckout/createOrder?addProduct=true&productNumber=XX0276&productQuantity=12 HTTP/2.0" 200 3966 "https://www.unser-shop.de/producturl" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.0.0 Safari/537.36"` Dieser Log-Eintrag von der IP-Adresse `46.5.228.xxx` zeigt dabei einen Aufruf der **PayPal-Checkout-Funktion** über den Endpunkt` createOrder`. Die URL enthält die gleichen Parameter wie in diversen vorherigen verdächtigen Anfragen, die darauf hindeuten, dass eben ein Produkt in großer Menge hinzugefügt wurde. Die Methode ist ja ein GET-Request, was bei einer sensiblen Aktion wie der Erstellung einer Bestellung ungewöhnlich ist, da normalerweise POST-Requests verwendet werden, um sicherzustellen, dass Daten korrekt und sicher übermittelt werden, oder? **Parameter** : - `addProduct=true`: Es wird ein Produkt zum Warenkorb hinzugefügt. - `productNumber=XX0276` und `productQuantity=12`: Dies ist wieder dasselbe Produkt (`XX0276`) und es wird in einer Menge von **12 Stück** hinzugefügt. Dies wiederholt das Verhalten aus den vorherigen Logs und bleibt verdächtig. So ging das mehrfach verteilt über den Tag, bis wir Paypal Express deaktiviert haben. Nun frage ich mich folgendes: **Wie kann ein direkter Zugriff auf den** `createOrder` **-Endpunkt erfolgen?** : Ähnlich wie bei den vorherigen Einträgen erfolgt der direkte Zugriff auf den sensiblen `createOrder`-Endpunkt ohne eine sichtbare Interaktion durch den Benutzer (z. B. eine POST-Anfrage zur Bestätigung). Dies, so denke ich, kann auf einen **versuchten Missbrauch des Bestellsystems** hinweisen, möglicherweise in Kombination mit Bot-Aktivitäten. Hat jemand schon mal ähnliches beobachtet oder weiß hier vielleicht jemand von den Admins bescheid? Für Antworten - egal von wem - bin ich sehr dankbar. 😀 Besten Dank vorab… ---
**Author:** ![sacrofano](https://avatars.discourse-cdn.com/v4/letter/s/65b543/32.png) [@sacrofano](https://forum.shopware.com/u/sacrofano)\ **Post date:** [8. Oktober 2024 um 19:55 UTC](https://forum.shopware.com/t/extrem-viele-bestellungen-ueber-paypal-express-bug-oder-bot-attack/105448/2 "2024-10-08T19:55:01Z")
Was derartige Bots automatisiert versuchen, ergibt nicht immer Sinn. Nach meiner Beobachtung versuchen sie eine Code-Injection auszuführen. Das muss nicht der erste GET Request sein, sondern kann auch nur der erste Schritt dahin sein, um später im Prozessfluss einen POST Request zu erreichen oder diesen noch zu finden. Einen gewissen Schutz bieten Anwendungen wie eine Firewall zur Sperrung von IP Adressen, Fail2ban oder mod\_security. In deinem konkreten Fall würde die Sperrung der IP in der Firewall helfen. ---
**Author:** ![Murmeltier](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/murmeltier/32/16126_2.png) [@Murmeltier](https://forum.shopware.com/u/Murmeltier)\ **Post date:** [8. Oktober 2024 um 21:05 UTC](https://forum.shopware.com/t/extrem-viele-bestellungen-ueber-paypal-express-bug-oder-bot-attack/105448/3 "2024-10-08T21:05:20Z")
Danke für Deine Infos! Heute ging es schon wieder los und ich kann mir nicht erklären, warum das genau klappt, also das die Bestellungen einfach durchgehen!?!?!? ---
**Author:** ![michael.ikv](https://avatars.discourse-cdn.com/v4/letter/m/c0e974/32.png) [@michael.ikv](https://forum.shopware.com/u/michael.ikv)\ **Post date:** [11. November 2024 um 09:32 UTC](https://forum.shopware.com/t/extrem-viele-bestellungen-ueber-paypal-express-bug-oder-bot-attack/105448/4 "2024-11-11T09:32:16Z")
Hallo Murmeltier, wie ist das bei euch denn ausgegangen? Wir hatten letzte Woche den gleichen Spaß in einem SW6 Shop, und können uns nicht wirklich erklären, was derjenige mit dem Bot bezwecken will ? Konntet ihr den Express Check-out wieder aktivieren? ---
**Author:** ![Murmeltier](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/murmeltier/32/16126_2.png) [@Murmeltier](https://forum.shopware.com/u/Murmeltier)\ **Post date:** [5. Dezember 2024 um 17:41 UTC](https://forum.shopware.com/t/extrem-viele-bestellungen-ueber-paypal-express-bug-oder-bot-attack/105448/5 "2024-12-05T17:41:07Z")
Ich hab es erst mal weggelassen und hab seit dem Ruhe!