FalconChen

2018-07-04 09:00

动弹

微信在JAVA版本的SDK中提供callback回调功能，用来帮助商家接收异步付款结果，该接口接受XML格式的数据，攻击者可以构造恶意的回调数据（XML格式）来窃取商家服务器上的任何信息。一旦攻击者获得了关键支付的安全密钥（将可以直接实现0元支付购买任何商品）

在OSC查看

1

评论 ( 6 )

• 
  wuyiw

  2018-07-04 10:48

  https://github.com/wxpay/WXPay-SDK-Java 已经下线了, google快照看到7月1号还在
  0
• 
  FalconChen 弹主

  2018-07-04 10:46

  @无bug不兄弟 临时添加waf规则可以限制一些，但这终究是SDK漏洞，就在一个小时前腾讯在对该SDK漏洞进行更新，修复了已知的安全漏洞，并提醒商户及时更新。
  0
• 
  wuyiw

  2018-07-04 10:45

  @学科带头人 http://seclists.org/fulldisclosure/2018/Jul/3 跟支付状态没关系, 是利用了xml解析的xxe攻击: https://security.tencent.com/index.php/blog/msg/69 , 这就挺麻烦的, 微信修复了sdk还得商家更新sdk
  0
• 
  学科带头人

  2018-07-04 10:09

  所以微信支付的JAVADemo中在接收到支付回调后，又调用了支付状态查询接口。
  0
• 
  平安北京

  2018-07-04 09:15

  会吗
  0
• 
  FalconChen 弹主

  2018-07-04 09:06

  @无bug不兄弟 你tm在逗我，这个漏洞老外前两天就披露了，演示用的案例是把陌陌给黑了。微信方还没修复
  0