微信支付被曝漏洞 不付钱就能任意买任何东西
微信支付被曝漏洞 不付钱就能任意买任何东西
你知道吗?微信上有一个大漏洞!这个漏洞是外国人发现的。微信支付被曝漏洞后,虽然还没有回应,但漏洞本身的详细情况却公布了,微信的该漏洞可以让人们不付钱就能任意的买任何东西。
7月1日,在老牌漏洞披露平台Full Disclosure出现了一封写给微信支付的信。发件人是Rose Jackcode,信的标题是《微信支付官方SDK的XXE安全漏洞(微信支付在商户页面遗留了一个后门)》
发件人Rose Jackcode在信中称,他在微信支付官方SDK(软件工具开发包)发现了一个安全漏洞,此漏洞可导致商家服务器被入侵,一旦攻击者获得商家的关键安全密钥,就可以通过发送伪造信息来欺骗商家而无需付费购买任何东西。
在使用微信支付时,商家需要提供通知网址以接受异步支付结果。问题是微信在JAVA版本SDK中的实现存在一个XXE漏洞。攻击者可以向通知URL构建恶意payload,根据需要窃取商家服务器的任何信息。换句话说,黑客利用微信支付的这个漏洞,能实现0元买买买的情况。
为了让大家信服,Rose Jackcode还贴出了两张代码截图,展示出漏洞利用的过程,中招者是 Vivo和陌陌。
那么他提到的XXE漏洞到底是什么呢?资料显示,XXE漏洞即XML外部实体注入漏洞,它通常发生在应用程序解析XML输入时,没有禁止外部实体的加载,导致可加载恶意外部文件,造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起DOS攻击等危害。简单说就是使用XML后的引用不规范导致的问题。
值得注意的是,目前漏洞的详细信息以及攻击方式已被公开,安全人员建议使用 JAVA语言 SDK(软件开发工具包)开发微信支付功能的商户,快速检查并修复。据白帽汇安全总监“BaCde”向雷锋网透露,由于微信官方的SDK有问题,目前所有使用基于微信支付JAVA SDK开发的微信支付功能都可能受影响。
但是为什么Vivo和陌陌会受影响?一个是手机厂商,一个是社交软件,似乎和微信支付没有直接关联。
BaCde解释,Vivo可能是因为其在线商城,比如黑客可以用微信支付不花一分钱来买走在线商城的东西。而对于陌陌中招,则有可能是因为它可以通过微信支付进行会员充值,也有漏洞可以利用。
雷锋网称,虽然这篇在国外网站上的披露文章是英文的,但是其技术人员用了中文的标点符号,很有可能是国内的技术人员冒充外国人发的攻击详情。
针对此漏洞,微信支付方面未发布相关安全公告。腾讯方面在向媒体回应时表示,“微信支付技术安全团队已第一时间关注及排查,并于今天中午对官方网站上该SDK漏洞进行更新,修复了已知的安全漏洞,并在此提醒商户及时更新。请大家放心使用微信支付。”
-
熬夜关灯玩手机对眼睛伤害不可逆 玩手机有哪些禁忌
很多人玩手机已经到了非常癫狂的地步,有时候甚至一个晚上不睡觉在玩手机。熬夜本身对身体危害就大,再机上手机辐射,双重危害更是对人体非常危险。据医生表示,熬夜关灯玩手机对眼睛伤害不可逆的,会出现眼干眼疼眼红等症状。那么,我们平时玩手机有哪些禁忌呢?一起来了解...
-
研究揭示睡眠时大脑如何处理声音 会分析听觉输入无法识别声音
一般如果我们进入睡眠,就感受不到周遭的声音了,当然,如果是很显著的声音,就会惊醒,而如果不是很显著的,我们就没什么感觉了。那么,我们睡觉的时候,大脑还会接受声音吗?近日,研究揭示睡眠时大脑如何处理声音,即会分析听觉输入无法识别声音。研究揭示睡眠时大脑如何处理声音...
-
闰秒将在2035年被取消 闰秒取消意味着什么
据外媒报道,当地时间11月18日,世界各国在度量衡大会上做出了一个关于时间的决定,那就是闰秒将在2035年被取消!那么,闰秒取消意味着什么呢?首先,很多人还不知道什么是闰秒,下面我们就一起来了解闰秒的含义及取消相关内容。闰秒将在2035年被取消闰秒将取消据《自然》报道...
-
NASA新发现两个超级地球 为人们寻找外星生命提供重要线索
近来,关于天文方面的发现比较多,这不,近日,NASA又有了新的重大发现——发现两个超级地球!据表示,它们围绕着红矮星HD260655运行,距离地球只有33光年。这一次发现是迄今为止最接近我们的多行星系统之一。最重要的一点是,这将为人们寻找外星生命提供重要线索!NASA新发现两...