【安全预警】微信支付SDK存在XXE漏洞

知道创宇云安全——云防御市场占有率第一

漏洞信息来源：

http://seclists.org/fulldisclosure/2018/Jul/3（请复制地址，网页打开）

受影响版本：

JAVA SDK，WxPayAPI_JAVA_v3，建议使用了该版本的公司进行异常支付排查。

微信在JAVA版本的SDK中提供的回调回调功能，用来帮助商家接收异步付款结果，该接口接受XML格式的数据，攻击者可以构造恶意的回调数据（XML格式）来窃取商家服务器上的任何信息。一旦攻击者获得了关键支付的安全密钥（MD5密钥和商家信息，将可以直接实现0元支付购买任何商品）

漏洞详情：

利用细节：

修复建议：

用户可使用开发语言提供的禁用外部实体的方法。java禁用外部实体的代码如下：

DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance(); dbf.setExpandEntityReferences(false);

404积极防御实验室第一时间进行响应。经确认，知道创宇云安全旗下云防御产品——创宇盾 ，无须升级安全策略即可有效拦截利用该漏洞的攻击，已接入客户无需担心。

扫码了解创宇盾

一键接入

网站安全不再担忧

关注公众号：拾黑（shiheibook）了解更多

[广告]赞助链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
让资讯触达的更精准有趣：https://www.0xu.cn/