微信支付被曝漏洞 不付钱就能任意买任何东西
来源:秒懂屋 本文已影响8.3K人
来源:秒懂屋 本文已影响8.3K人
微信支付被曝漏洞 不付钱就能任意买任何东西
你知道吗?微信上有一个大漏洞!这个漏洞是外国人发现的。微信支付被曝漏洞后,虽然还没有回应,但漏洞本身的详细情况却公布了,微信的该漏洞可以让人们不付钱就能任意的买任何东西。
7月1日,在老牌漏洞披露平台Full Disclosure出现了一封写给微信支付的信。发件人是Rose Jackcode,信的标题是《微信支付官方SDK的XXE安全漏洞(微信支付在商户页面遗留了一个后门)》
发件人Rose Jackcode在信中称,他在微信支付官方SDK(软件工具开发包)发现了一个安全漏洞,此漏洞可导致商家服务器被入侵,一旦攻击者获得商家的关键安全密钥,就可以通过发送伪造信息来欺骗商家而无需付费购买任何东西。
在使用微信支付时,商家需要提供通知网址以接受异步支付结果。问题是微信在JAVA版本SDK中的实现存在一个XXE漏洞。攻击者可以向通知URL构建恶意payload,根据需要窃取商家服务器的任何信息。换句话说,黑客利用微信支付的这个漏洞,能实现0元买买买的情况。
为了让大家信服,Rose Jackcode还贴出了两张代码截图,展示出漏洞利用的过程,中招者是 Vivo和陌陌。
那么他提到的XXE漏洞到底是什么呢?资料显示,XXE漏洞即XML外部实体注入漏洞,它通常发生在应用程序解析XML输入时,没有禁止外部实体的加载,导致可加载恶意外部文件,造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起DOS攻击等危害。简单说就是使用XML后的引用不规范导致的问题。
值得注意的是,目前漏洞的详细信息以及攻击方式已被公开,安全人员建议使用 JAVA语言 SDK(软件开发工具包)开发微信支付功能的商户,快速检查并修复。据白帽汇安全总监“BaCde”向雷锋网透露,由于微信官方的SDK有问题,目前所有使用基于微信支付JAVA SDK开发的微信支付功能都可能受影响。
但是为什么Vivo和陌陌会受影响?一个是手机厂商,一个是社交软件,似乎和微信支付没有直接关联。
BaCde解释,Vivo可能是因为其在线商城,比如黑客可以用微信支付不花一分钱来买走在线商城的东西。而对于陌陌中招,则有可能是因为它可以通过微信支付进行会员充值,也有漏洞可以利用。
雷锋网称,虽然这篇在国外网站上的披露文章是英文的,但是其技术人员用了中文的标点符号,很有可能是国内的技术人员冒充外国人发的攻击详情。
针对此漏洞,微信支付方面未发布相关安全公告。腾讯方面在向媒体回应时表示,“微信支付技术安全团队已第一时间关注及排查,并于今天中午对官方网站上该SDK漏洞进行更新,修复了已知的安全漏洞,并在此提醒商户及时更新。请大家放心使用微信支付。”
微信调整支付流程 扫码支付限额500旧版不限
信用卡能向个人支付吗 信用卡能不能向个人支付
信用卡为什么不支持微信支付 信用卡不支持微信支付的原因
嘀一声钱就划走?微信支付宝的这个功能想好再用
信用卡可以转支付宝吗 信用卡能不能转支付宝
梦见买东西付钱给别人是什么意思 梦见买东西付钱给别人有什么征兆
微信支付失败的原因有哪些 微信支付失败的原因
信用卡的钱可以转到支付宝吗 信用卡的钱能转支付宝吗
微信支付密码忘了怎么办 如何找回微信支付密码
信用卡可以绑定微信支付宝消费吗 信用卡能绑定微信支付宝消费吗
Libra将与支付宝微信竞争?Libra是什么能打赢支付宝吗?
微信支付分有什么用 微信支付分的作用
2021微信支付手续费收取标准 微信支付手续费怎么收
信用卡能绑定微信支付宝消费吗 信用卡可以绑定微信支付宝消费吗
微信支付被诉侵权是什么情况 微信支付被诉侵权是真的吗
微信支付密码忘了怎么办
支付宝集福能分多少钱 2017支付宝集齐五福技巧攻略
支付宝的钱怎么转到微信 支付宝的钱如何转到微信
信用卡可以付微信收款码吗 微信收款码支持信用卡付款吗
信用卡绑定微信可以扫码付款吗 信用卡绑定微信可以支付吗
信用卡可以在支付宝上进行充值吗 信用卡能不能在支付宝上充值
腾讯回应刷掌支付 刷掌支付仅为微信内部技术预研
微信怎么支付买东西
微信内测钱包改名“支付” 还有这3项小变化
12306能用信用卡支付吗?
手机12306可以微信支付吗?
龙支付能扫微信支付吗
微信绑定信用卡可以扫码支付吗 微信绑定信用卡可以直接扫码支付吗
12306能用手机支付宝支付吗
淘宝买东西能用微信付吗?淘宝怎样用微信支付?
工行信用卡绑定微信支付有积分吗 工行信用卡绑定微信支付有没有积分
京东还款能不能微信支付
微信和支付宝还信用卡哪个手续费高 微信和支付宝还信用卡手续费怎么算
银行卡的钱怎么转到支付宝里 银行卡的钱如何转支付宝
银行卡维护不能支付怎么办 银行卡维护中不能支付
支付宝的信用卡快捷支付需要收手续费吗 支付宝的信用卡快捷支付收不收手续费
安卓被曝严重漏洞:不经过你同意APP能随意访问相册
支付宝享攒钱是什么 支付宝享攒钱的内容
信用卡支付如何退款 信用卡支付退款退到哪里
微信亲属卡支付失败怎么回事 微信亲属卡支付失败的原因是什么
交通银行信用卡的微信支付有积分吗 交通银行信用卡的微信支付积分多少
2016中国避暑旅游城市排行榜 昆明名列榜首
梦见丢车是什么意思 周公解梦梦见丢车好不好
山西运城河津知名特产有哪些 适合带走的河津特产
你是我的答案袁明清扮演者 你是我的答案袁明清是谁
安抚奶嘴十大品牌排行榜 安抚奶嘴牌子排行榜
小寒的习俗 节气小寒的习俗活动与食俗
美式咖啡苦不苦 美式咖啡苦吗
属马的属相婚配表 属马的适合配什么属相
2020年元宵节2月8日放假吗 2020年2月8日元宵节是星期
云南怒江州突发泥石流 境内多路段交通中断
成都有房重庆买房能用公积金贷款吗 在成都有房再在重
2018厦门春节旅游天气如何 2018年厦门春节旅游天气情
巴中在成都换二代身份证需要哪些材料
肉孜节是什么节日 肉孜节的意义什么
梦见小孩拉我一身粑粑是什么意思 梦见小孩拉我一身粑