0元就能买买买微信支付官方SDK被曝严重漏洞 Vivo陌陌中招

APP下载

扫一扫

下载观察者APP

0元就能买买买微信支付官方SDK被曝严重漏洞 Vivo陌陌中招
- 陈燕妮chenyanni@guancha.cn 欢迎投稿，欢迎拍砖。
分享到：

2018-07-04 13:06:25 字号：A- A A+ 来源：观察者网

关键字: 微信支付安全漏洞

7月1日，在老牌漏洞披露平台Full Disclosure出现了一封写给微信支付的公开信。发件人是Rose Jackcode，信的标题是《微信支付官方SDK的XXE安全漏洞（微信支付在商户页面遗留了一个后门）》。

发表在漏洞披露平台Full Disclosure上的公开信

发件人Rose Jackcode在信中称，他在微信支付官方SDK（软件工具开发包）发现了一个安全漏洞，此漏洞可导致商家服务器被入侵，一旦攻击者获得商家的关键安全密钥，就可以通过发送伪造信息来欺骗商家而无需付费购买任何东西。

在使用微信支付时，商家需要提供通知网址以接受异步支付结果。问题是微信在JAVA版本SDK中的实现存在一个XXE漏洞。攻击者可以向通知URL构建恶意payload，根据需要窃取商家服务器的任何信息。换句话说，黑客利用微信支付的这个漏洞，能实现0元买买买的情况。

为了让大家信服，Rose Jackcode还贴出了两张代码截图，展示出漏洞利用的过程，中招者是 Vivo和陌陌。

陌陌中招

vivo中招

那么他提到的XXE漏洞到底是什么呢？资料显示，XXE漏洞即XML外部实体注入漏洞，它通常发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起DOS攻击等危害。简单说就是使用XML后的引用不规范导致的问题。

值得注意的是，目前漏洞的详细信息以及攻击方式已被公开，安全人员建议使用 JAVA语言 SDK（软件开发工具包）开发微信支付功能的商户，快速检查并修复。据白帽汇安全总监“BaCde”向雷锋网透露，由于微信官方的SDK有问题，目前所有使用基于微信支付JAVA SDK开发的微信支付功能都可能受影响。

但是为什么Vivo和陌陌会受影响？一个是手机厂商，一个是社交软件，似乎和微信支付没有直接关联。

BaCde解释，Vivo可能是因为其在线商城，比如黑客可以用微信支付不花一分钱来买走在线商城的东西。而对于陌陌中招，则有可能是因为它可以通过微信支付进行会员充值，也有漏洞可以利用。

雷锋网称，虽然这篇在国外网站上的披露文章是英文的，但是其技术人员用了中文的标点符号，很有可能是国内的技术人员冒充外国人发的攻击详情。

针对此漏洞，微信支付方面未发布相关安全公告。腾讯方面在向媒体回应时表示，“微信支付技术安全团队已第一时间关注及排查，并于今天中午对官方网站上该SDK漏洞进行更新，修复了已知的安全漏洞，并在此提醒商户及时更新。请大家放心使用微信支付。”
标签微信手机支付漏洞
- 请支持独立网站，转发请注明本文链接：
- 责任编辑:陈燕妮
- 最后更新: 2018-07-04 13:06:25
- 抖音印尼被禁，抖音好友小程序上线当日即被腾讯叫停
  
  2018-07-04 11:36
- 李彦宏去年吹的“7月量产无人车”，现在实现了
  
  2018-07-04 11:19 BAT
- OLED电视或能降价30% 印刷式OLED成秘密武器
  
  2018-07-04 08:30
- 腾讯和孩子的游戏战争
  
  2018-07-04 08:20
- 中兴被暂时部分解禁：针对已开展业务公司期限一个月
  
  2018-07-04 08:17
- 李志诉腾讯视频明日之子侵权向节目组及毛不易索赔300万
  
  2018-07-03 21:08
- 戴尔三星召回笔记本电池存短路或致过热起火
  
  2018-07-03 21:02
- 中国手机市场迎来大洗牌！这些品牌手机“拼了”
  
  2018-07-03 20:47
- 菜鸟智能物流骨干网布局比利时当地媒体称将成巨大推动力
  
  2018-07-03 20:42
- 传蚂蚁金服1亿美元投资雪球网双方不予置评
  
  2018-07-03 20:03
- 抖音上线“抖音好友”微信小程序首日即暂停服务
  
  2018-07-03 19:35
- 90后滴滴司机为陌生白血病女孩一个月狂瘦12斤背后真相让人感动
  
  2018-07-03 18:30
- 支付宝、银联、网联的暗战
  
  2018-07-03 18:07
- 伊利要求101女团满足销量才签约被粉丝诟病“吃相难看”
  
  2018-07-03 17:33
- 22年老物流赌上全部身家做快递，德邦为何转型？
  
  2018-07-03 17:06
- 美国500强公司名单公布：苹果下滑至第四亚马逊首进前十
  
  2018-07-03 17:04
- 撕开科技的外衣，京东金融还是那家“牌照荒”的金融公司
  
  2018-07-03 13:50
- 从最后1000米到0米：菜鸟黑科技天团出道
  
  2018-07-03 12:03
- 腾讯音乐被传7月6日赴美提交IPO申请书估值超300亿
  
  2018-07-03 11:41
- 联想控股耗资约15亿欧元收购卢森堡国际银行
  
  2018-07-03 11:41
搜索

   观察者头条查看全部

中方很直白：对欧洲非常失望，把我们逼到墙角评论 115

“这不是威胁而是机遇”，默茨话音未落台下嘘声一片评论 65

“少用油既健康，又爱国”，莫迪带头“勒紧裤腰带” 评论 136

“与众多杰出人士一同前往伟大的中国，是我的荣幸” 评论 48

“中国车出现在美国公路上，只是时间问题” 评论 139

   风闻 · 24小时最热查看全部

   最新视频查看全部
最新闻 Hot
快讯

0元就能买买买微信支付官方SDK被曝严重漏洞 Vivo陌陌中招

抖音印尼被禁，抖音好友小程序上线当日即被腾讯叫停

李彦宏去年吹的“7月量产无人车”，现在实现了

OLED电视或能降价30% 印刷式OLED成秘密武器

腾讯和孩子的游戏战争

中兴被暂时部分解禁：针对已开展业务公司期限一个月

李志诉腾讯视频明日之子侵权向节目组及毛不易索赔300万

戴尔三星召回笔记本电池存短路或致过热起火

中国手机市场迎来大洗牌！这些品牌手机“拼了”

菜鸟智能物流骨干网布局比利时当地媒体称将成巨大推动力

传蚂蚁金服1亿美元投资雪球网双方不予置评

抖音上线“抖音好友”微信小程序首日即暂停服务

90后滴滴司机为陌生白血病女孩一个月狂瘦12斤背后真相让人感动

支付宝、银联、网联的暗战

伊利要求101女团满足销量才签约被粉丝诟病“吃相难看”

22年老物流赌上全部身家做快递，德邦为何转型？

美国500强公司名单公布：苹果下滑至第四亚马逊首进前十

撕开科技的外衣，京东金融还是那家“牌照荒”的金融公司

从最后1000米到0米：菜鸟黑科技天团出道

腾讯音乐被传7月6日赴美提交IPO申请书估值超300亿

联想控股耗资约15亿欧元收购卢森堡国际银行

美议员装可怜：中国车太便宜，可不能让咱工人遭罪

马斯克：只有我和老黄坐上了“空军一号”

“美国本想大赚一笔，却被中国截胡了”

美国老兵急了：我们必须打赢，不然中国就会吸取教训

中企在印尼受限：不能再这样下去了

阿联酋火速否认：没这回事

“美国向伊朗每发一枚导弹，就更深一步依赖中国”

中方很直白：对欧洲非常失望，把我们逼到墙角

北约东翼抢着要“接盘”，这国最有戏？

美国加码封杀阿斯麦对华出口，荷兰终于“反抗”

“他当面质询斯塔默，欲辞职放手一搏”

“这不是威胁而是机遇”，默茨话音未落台下嘘声一片

“‘金穹’要花1.2万亿美元，还挡不住中俄导弹”

“少用油既健康，又爱国”，莫迪带头“勒紧裤腰带”

奥地利两度拦截了美军侦察机

“伊朗恢复了90%的导弹能力而美军面临耗尽弹药”

0元就能买买买 微信支付官方SDK被曝严重漏洞 Vivo陌陌中招

0元就能买买买微信支付官方SDK被曝严重漏洞 Vivo陌陌中招