0元就能买买买 微信支付官方SDK被曝严重漏洞

1评论 2018-07-05 10:53:10 来源:观察者网 作者:陈燕妮 华资实业20%大肉分享

  7月1日,在老牌漏洞披露平台Full Disclosure出现了一封写给微信支付的公开信。发件人是Rose Jackcode,信的标题是《微信支付官方SDK的XXE安全漏洞(微信支付在商户页面遗留了一个后门)》。

发表在漏洞披露平台Full Disclosure上的公开信

  发件人Rose Jackcode在信中称,他在微信支付官方SDK(软件工具开发包)发现了一个安全漏洞,此漏洞可导致商家服务器被入侵,一旦攻击者获得商家的关键安全密钥,就可以通过发送伪造信息来欺骗商家而无需付费购买任何东西。

  在使用微信支付时,商家需要提供通知网址以接受异步支付结果。问题是微信在JAVA版本SDK中的实现存在一个XXE漏洞。攻击者可以向通知URL构建恶意payload,根据需要窃取商家服务器的任何信息。换句话说,黑客利用微信支付的这个漏洞,能实现0元买买买的情况。

  为了让大家信服,Rose Jackcode还贴出了两张代码截图,展示出漏洞利用的过程,中招者是 Vivo和陌陌。

陌陌中招

vivo中招

  那么他提到的XXE漏洞到底是什么呢?资料显示,XXE漏洞即XML外部实体注入漏洞,它通常发生在应用程序解析XML输入时,没有禁止外部实体的加载,导致可加载恶意外部文件,造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起DOS攻击等危害。简单说就是使用XML后的引用不规范导致的问题。

  值得注意的是,目前漏洞的详细信息以及攻击方式已被公开,安全人员建议使用 JAVA语言 SDK(软件开发工具包)开发微信支付功能的商户,快速检查并修复。据白帽汇安全总监“BaCde”向雷锋网透露,由于微信官方的SDK有问题,目前所有使用基于微信支付JAVA SDK开发的微信支付功能都可能受影响。

  但是为什么Vivo和陌陌会受影响?一个是手机厂商,一个是社交软件,似乎和微信支付没有直接关联。

  BaCde解释,Vivo可能是因为其在线商城,比如黑客可以用微信支付不花一分钱来买走在线商城的东西。而对于陌陌中招,则有可能是因为它可以通过微信支付进行会员充值,也有漏洞可以利用。

  雷锋网称,虽然这篇在国外网站上的披露文章是英文的,但是其技术人员用了中文的标点符号,很有可能是国内的技术人员冒充外国人发的攻击详情。

  针对此漏洞,微信支付方面未发布相关安全公告。腾讯方面在向媒体回应时表示,“微信支付技术安全团队已第一时间关注及排查,并于今天中午对官方网站上该SDK漏洞进行更新,修复了已知的安全漏洞,并在此提醒商户及时更新。请大家放心使用微信支付。”

关键词阅读:微信 SDK Vivo 陌陌 中招

责任编辑:Robot RF13015
快来分享:
评论 已有 0 条评论
精彩推荐
汇丰渣打暂停派息股价大跌 分红“信仰”碎了一地

2020-04-02 09:08:34来源:证券时报

甘肃银行:单日下跌40% 银行零售业务坏账垮塌带来的警示

2020-04-02 09:14:15来源:基本面力场

“后进生”交通银行出现改善迹象:净息差逆势上行

2020-04-02 09:16:00来源:四维环球金融智库

汇丰渣打暂停派息 分红“信仰”碎了一地

2020-04-02 02:49:17来源:证券时报

韩会师:走着瞧 流动性危机之后是企业债务危机

2020-04-02 09:15:00来源:会师话市

谋划三年 这家城商行消费金融公司即将落地 近期已在招聘

2020-04-02 16:46:35来源:消金界

锦州银行风险处置战役阶段性盘点:去年亏损大幅收窄

2020-04-02 09:07:22来源:上海证券报

货币政策二季度料迎调整时间窗口 全面降息降准没必要

2020-04-02 09:06:42来源:中国证券报

国务院释放4大利好 定向降准未来可期

2020-04-01 08:58:18来源:每经网

银保监会:将推动法律修改工作 加强金融法治顶层设计

2020-04-02 18:24:32来源:银保监会

趣店“跑偏”背后:开放平台业绩大滑坡

2020-04-02 16:45:50来源:消金时代

光大银行折戟零售:史上最好的营收 最差的盈利

2020-04-02 13:44:30来源:新金融琅琊榜

央行5000亿再贷款不断落地:首批小店因网商银行无接触贷款获央行资金

2020-04-02 11:42:30来源:金融界网站

银行股也闪崩 甘肃银行一天暴跌43%遭机构平仓

2020-04-02 11:25:07来源:证券时报

美联储再度“救市” 放宽银行杠杆规则

2020-04-02 10:17:58来源:财联社

去年六大行个人房贷余额增13.3% 短期房贷利率降幅有限

2020-04-02 09:07:54来源:中国证券报

2家大行突然暴跌 一天蒸发千亿市值!分红“信仰”不再

2020-04-01 18:11:01来源:券商中国

“低调”的小米金融:消费贷拉动金融业务收入 已拿下7类金融牌照

2020-04-01 14:31:40来源:消金界

浙商银行“回A”首份成绩单:同业理财投资清零 借金融科技补零售短板

2020-03-31 17:30:24来源:蓝鲸财经

“714高炮”背后:个人获取现金贷的渠道太多了

2019-03-18 07:46:59来源:证券时报

更多>> 以下为您的最近访问股
理财产品快速查询
实时热点