微信支付被曝漏洞 這么操作陌陌vivo等商家可0元隨便買買買?。?）

商戶、用戶和黑客

如果你是一名商戶，會(huì)有哪些影響？

以在線商城的商戶為例，如果你所應(yīng)用的語(yǔ)言是JAVA（目前漏洞針對(duì)的是JAVA），接入微信支付功能的第一步，首先要在微信的官方網(wǎng)站找到JAVA語(yǔ)言的SDK開(kāi)發(fā)包，當(dāng)開(kāi)發(fā)人員編寫不規(guī)范而開(kāi)發(fā)出有漏洞的微信支付功能，黑客發(fā)現(xiàn)后，就可通過(guò)竊取商戶信息，進(jìn)而偽造網(wǎng)絡(luò)請(qǐng)求進(jìn)行0元購(gòu)買商品的操作，以及獲取數(shù)據(jù)信息。

這里要強(qiáng)調(diào)一下，雖然這里的開(kāi)發(fā)人員是商戶的開(kāi)發(fā)人員，但其根本原因還是由于微信支付的SDK在某處存在安全問(wèn)題，所以要解決漏洞，還得從官方的SDK來(lái)解決。

如果我是普通的用戶呢？

最直接的影響就是，你在商家后臺(tái)的用戶信息已經(jīng)被暴露了，而黑客拿到這些信息可以去暗網(wǎng)上兜售。緊接著，你成為了垃圾信息的受害者。

而對(duì)于黑客來(lái)說(shuō)，通過(guò)這個(gè)漏洞，不僅可以0元買買買，還可以通過(guò)倒賣用戶信息小賺一筆。

漏洞影響

雷鋒網(wǎng)發(fā)現(xiàn)，目前，陌陌和vivo已經(jīng)修復(fù)了相關(guān)的漏洞，但針對(duì)此漏洞，微信官方并未發(fā)布相關(guān)安全公告，也沒(méi)有更新微信支付的SDK版本。

也就是說(shuō)，所有使用微信支付官方SDK的商戶，并且語(yǔ)言是JAVA的，都還處于被攻擊的危險(xiǎn)之中。

那既然微信官方都沒(méi)修復(fù)，陌陌和vivo是怎么修復(fù)的？

BaCde解釋，陌陌和vivo本身有相應(yīng)的安全能力，可以修改SDK的相應(yīng)代碼進(jìn)行修復(fù)，自行解決。但如果是一些小的商戶，就沒(méi)有這個(gè)能力了。

據(jù)悉，雖然目前該漏洞影響的是JAVA版本的SDK，但歷史上已經(jīng)出現(xiàn)過(guò)PHP版本的SDK存在同樣的漏洞。據(jù)BaCde透露，這次的漏洞是XML外部實(shí)體注入漏洞，即當(dāng)允許引用外部實(shí)體時(shí)，通過(guò)構(gòu)造惡意內(nèi)容，可導(dǎo)致讀取任意文件、執(zhí)行系統(tǒng)命令、探測(cè)內(nèi)網(wǎng)端口、攻擊內(nèi)網(wǎng)網(wǎng)站等危害。

對(duì)于攻擊者來(lái)說(shuō)，這么好的賺錢機(jī)會(huì)，悶聲發(fā)大財(cái)就好了，為什么要選擇公開(kāi)攻擊方式？

據(jù)白帽匯創(chuàng)始人趙武推測(cè)，直接公開(kāi)這種級(jí)別的大殺器確實(shí)太不尋常，他這樣做的原因，不排除是黑客在利用漏洞的過(guò)程中發(fā)現(xiàn)痕跡擦不干凈，有可能被查出來(lái)，所以馬上對(duì)外公布，讓廣大黑客群體發(fā)起攻擊，以便淹沒(méi)自己最初的攻擊，達(dá)到隱藏自己的效果。

值得注意的是，雖然這篇在國(guó)外網(wǎng)站上的披露文章是英文的，但是其技術(shù)人員用了中文的標(biāo)點(diǎn)符號(hào)，很有可能是國(guó)內(nèi)的技術(shù)人員冒充外國(guó)人發(fā)的攻擊詳情。

微信支付被曝漏洞

騰訊已經(jīng)知曉漏洞

目前，雷鋒網(wǎng)發(fā)現(xiàn)，該漏洞在推特上也有安全人員提出來(lái)了，這位仁兄可能不太認(rèn)識(shí)騰訊的安全小哥，直接@360來(lái)尋人，然后360把漏洞的鏈接發(fā)給了騰訊的人，認(rèn)證為騰訊安全響應(yīng)中心的人也在推特下面進(jìn)行了回復(fù)，表示正在處理。

微信支付被曝漏洞