0元就能买买买微信支付官方SDK被曝严重漏洞 Vivo陌陌中招

APP下载

扫一扫

下载观察者APP

0元就能买买买微信支付官方SDK被曝严重漏洞 Vivo陌陌中招
- 陈燕妮[email protected] 欢迎投稿，欢迎拍砖。
分享到：

2018-07-04 13:06:25 字号：A- A A+ 来源：观察者网

关键字: 微信支付安全漏洞

7月1日，在老牌漏洞披露平台Full Disclosure出现了一封写给微信支付的公开信。发件人是Rose Jackcode，信的标题是《微信支付官方SDK的XXE安全漏洞（微信支付在商户页面遗留了一个后门）》。

发表在漏洞披露平台Full Disclosure上的公开信

发件人Rose Jackcode在信中称，他在微信支付官方SDK（软件工具开发包）发现了一个安全漏洞，此漏洞可导致商家服务器被入侵，一旦攻击者获得商家的关键安全密钥，就可以通过发送伪造信息来欺骗商家而无需付费购买任何东西。

在使用微信支付时，商家需要提供通知网址以接受异步支付结果。问题是微信在JAVA版本SDK中的实现存在一个XXE漏洞。攻击者可以向通知URL构建恶意payload，根据需要窃取商家服务器的任何信息。换句话说，黑客利用微信支付的这个漏洞，能实现0元买买买的情况。

为了让大家信服，Rose Jackcode还贴出了两张代码截图，展示出漏洞利用的过程，中招者是 Vivo和陌陌。

陌陌中招

vivo中招

那么他提到的XXE漏洞到底是什么呢？资料显示，XXE漏洞即XML外部实体注入漏洞，它通常发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起DOS攻击等危害。简单说就是使用XML后的引用不规范导致的问题。

值得注意的是，目前漏洞的详细信息以及攻击方式已被公开，安全人员建议使用 JAVA语言 SDK（软件开发工具包）开发微信支付功能的商户，快速检查并修复。据白帽汇安全总监“BaCde”向雷锋网透露，由于微信官方的SDK有问题，目前所有使用基于微信支付JAVA SDK开发的微信支付功能都可能受影响。

但是为什么Vivo和陌陌会受影响？一个是手机厂商，一个是社交软件，似乎和微信支付没有直接关联。

BaCde解释，Vivo可能是因为其在线商城，比如黑客可以用微信支付不花一分钱来买走在线商城的东西。而对于陌陌中招，则有可能是因为它可以通过微信支付进行会员充值，也有漏洞可以利用。

雷锋网称，虽然这篇在国外网站上的披露文章是英文的，但是其技术人员用了中文的标点符号，很有可能是国内的技术人员冒充外国人发的攻击详情。

针对此漏洞，微信支付方面未发布相关安全公告。腾讯方面在向媒体回应时表示，“微信支付技术安全团队已第一时间关注及排查，并于今天中午对官方网站上该SDK漏洞进行更新，修复了已知的安全漏洞，并在此提醒商户及时更新。请大家放心使用微信支付。”
标签微信手机支付漏洞
- 请支持独立网站，转发请注明本文链接：
- 责任编辑:陈燕妮
- 最后更新: 2018-07-04 13:06:25
- 抖音印尼被禁，抖音好友小程序上线当日即被腾讯叫停
  
  2018-07-04 11:36
- 李彦宏去年吹的“7月量产无人车”，现在实现了
  
  2018-07-04 11:19 BAT
- OLED电视或能降价30% 印刷式OLED成秘密武器
  
  2018-07-04 08:30
- 腾讯和孩子的游戏战争
  
  2018-07-04 08:20
- 中兴被暂时部分解禁：针对已开展业务公司期限一个月
  
  2018-07-04 08:17
- 李志诉腾讯视频明日之子侵权向节目组及毛不易索赔300万
  
  2018-07-03 21:08
- 戴尔三星召回笔记本电池存短路或致过热起火
  
  2018-07-03 21:02
- 中国手机市场迎来大洗牌！这些品牌手机“拼了”
  
  2018-07-03 20:47
- 菜鸟智能物流骨干网布局比利时当地媒体称将成巨大推动力
  
  2018-07-03 20:42
- 传蚂蚁金服1亿美元投资雪球网双方不予置评
  
  2018-07-03 20:03
- 抖音上线“抖音好友”微信小程序首日即暂停服务
  
  2018-07-03 19:35
- 90后滴滴司机为陌生白血病女孩一个月狂瘦12斤背后真相让人感动
  
  2018-07-03 18:30
- 支付宝、银联、网联的暗战
  
  2018-07-03 18:07
- 伊利要求101女团满足销量才签约被粉丝诟病“吃相难看”
  
  2018-07-03 17:33
- 22年老物流赌上全部身家做快递，德邦为何转型？
  
  2018-07-03 17:06
- 美国500强公司名单公布：苹果下滑至第四亚马逊首进前十
  
  2018-07-03 17:04
- 撕开科技的外衣，京东金融还是那家“牌照荒”的金融公司
  
  2018-07-03 13:50
- 从最后1000米到0米：菜鸟黑科技天团出道
  
  2018-07-03 12:03
- 腾讯音乐被传7月6日赴美提交IPO申请书估值超300亿
  
  2018-07-03 11:41
- 联想控股耗资约15亿欧元收购卢森堡国际银行
  
  2018-07-03 11:41
搜索

   观察者头条查看全部

“中国正投入万亿美元，我们却在这胡搞” 评论 33

真急了！“白宫拟成立涉华关税应急工作组” 评论 227

这场贸易战，美国就是个“纸老虎” 评论 90

特朗普也直说了：不行，就放弃评论 233

特朗普“先眨眼”：很多人催我，期待和中国谈成评论 246

   风闻 · 24小时最热查看全部

   最新视频查看全部
最新闻 Hot
快讯

0元就能买买买微信支付官方SDK被曝严重漏洞 Vivo陌陌中招

抖音印尼被禁，抖音好友小程序上线当日即被腾讯叫停

李彦宏去年吹的“7月量产无人车”，现在实现了

OLED电视或能降价30% 印刷式OLED成秘密武器

腾讯和孩子的游戏战争

中兴被暂时部分解禁：针对已开展业务公司期限一个月

李志诉腾讯视频明日之子侵权向节目组及毛不易索赔300万

戴尔三星召回笔记本电池存短路或致过热起火

中国手机市场迎来大洗牌！这些品牌手机“拼了”

菜鸟智能物流骨干网布局比利时当地媒体称将成巨大推动力

传蚂蚁金服1亿美元投资雪球网双方不予置评

抖音上线“抖音好友”微信小程序首日即暂停服务

90后滴滴司机为陌生白血病女孩一个月狂瘦12斤背后真相让人感动

支付宝、银联、网联的暗战

伊利要求101女团满足销量才签约被粉丝诟病“吃相难看”

22年老物流赌上全部身家做快递，德邦为何转型？

美国500强公司名单公布：苹果下滑至第四亚马逊首进前十

撕开科技的外衣，京东金融还是那家“牌照荒”的金融公司

从最后1000米到0米：菜鸟黑科技天团出道

腾讯音乐被传7月6日赴美提交IPO申请书估值超300亿

联想控股耗资约15亿欧元收购卢森堡国际银行

“中国正投入万亿美元，我们却在这胡搞”

真急了！“白宫拟成立涉华关税应急工作组”

黄仁勋访华盼继续合作，特朗普回应

中国男子在TikTok“神评”美国关税，米尔斯海默秒答：赞同

“内地电影票房过亿那一刻，香港电影就被颠覆了”

美国税局代理局长刚上任三天就被免，“贝森特抱怨他是马斯克的人”

特朗普也直说了：不行，就放弃

“中国深知‘广场协议’是致命的，特朗普别想了”

“中国稀土，关乎美国人生死”

美军高官着急：中国速度太快了，是美国3倍

德银：中国客户减持美债，转头买欧洲资产

美国对中国再下黑手，“黄仁勋道出最大担忧…”

跟特朗普谈，拿中国当筹码？英财相：蠢死了

加总理扬言：除了中美，还有其他人

美方将不再斡旋？梅德韦杰夫喊话欧盟：学着点

特朗普“先眨眼”：很多人催我，期待和中国谈成

0元就能买买买 微信支付官方SDK被曝严重漏洞 Vivo陌陌中招

0元就能买买买微信支付官方SDK被曝严重漏洞 Vivo陌陌中招