微信支付被曝安全漏洞黑客伪造信息欺骗商家不付费_[新闻new]

发布时间：2021-07-16 18:05:51 阅读：次来源：鱼竿厂家

7月3日，国外安全社区Seclists.Org一名白帽子披露了微信支付官方SDK存在严重的XXE漏洞。该漏洞可导致商家服务器被入侵，黑客可避开真实支付通道，用虚假的支付通知来购买任意产品。目前，陌陌、vivo 已经验证被该漏洞影响。下面，我们一起去看看国外黑客演示如何利用该漏洞0元购买物品。

微信支付被曝漏洞这到底是怎么回事？微信支付买东西真的不用花一分钱？近日，有网友在国外的安全社区公布了微信支付官方SDK（软件工具开发包）存在的严重漏洞。此漏洞可导致商家服务器被入侵，一旦攻击者获得商家的关键安全密钥，他就可以通过发送伪造信息来欺骗商家而无需付费购买任何东西。这并不是说说而已，这位网友还直接甩出了两张图，展示出漏洞利用的过程，中招者是vivo和陌陌。

值得注意的是，目前漏洞的详细信息以及攻击方式已被公开，安全人员建议使用JAVA语言SDK（软件开发工具包）开发微信支付功能的商户，快速检查并修复。文章开头提到，这个漏洞是关于微信支付的官方SDK的，那究竟谁会用到此类SDK呢？白帽汇安全总监“BaCde”告诉记者，所有需要开通微信支付的商家都很有可能用到！

比如，我们平时使用微信支付的时候，都会有一个付款的二维码，或者网购的时候，也有微信的支付渠道。这就需要商家与微信支付建立一个专属通道。这个过程叫“商户回调接口”，也就是说，所有的商户要想开通微信支付，不管是线上还是线下的，都需要通过与微信支付的这个接口来交流。这个接口有一套标准的定义，比如订单号、用户信息、价格等，最后有一个签名来保证双方交易的真实可靠。

这时，微信官方为了方便商户，一般都会有一个官方的SDK，来使得各家商户更加顺畅和安全地接入微信支付。这时，这个SDK开发包就存在了这些商户的服务器上，与此同时，开发包的漏洞也就直接影响了商户服务器的安全性。如果有一天，黑客利用SDK上面的漏洞控制了商家的服务器，那么这些订单状态、用户信息和价格等就很有可能被黑客拿走并且进行篡改。

据BaCde透露，由于微信官方的SDK有问题，目前所有使用基于微信支付JAVA SDK开发的微信支付功能都可能受影响。那黑客为什么选择陌陌和vivo来开刀呢？听起来，这两家一个是手机厂商，一个是社交软件，和我们平时刷二维码或者网购的某某商家还是有区别。BaCde解释，vivo这个可能是vivo的在线商城，比如黑客可以用微信支付不花一分钱来买走在线商城的东西。

对于陌陌中招，则有可能是因为它可以通过微信支付进行会员充值，也有漏洞可以利用。据悉，目前，陌陌和vivo已经修复了相关的漏洞，但针对此漏洞，微信官方并未发布相关安全公告，也没有更新微信支付的SDK版本。也就是说，所有使用微信支付官方SDK的商户，并且语言是JAVA的，都还处于被攻击的危险之中。