搜索

[12898] 2018-07-03_发现微信支付的重大漏洞，白帽子竟然先联系了360？

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2018-07-03_发现微信支付的重大漏洞，白帽子竟然先联系了360？ 发 现 微 信 支 付 的 重 大 漏 洞 ， 白 帽 子 竟 然 先 联 系 了 3 6 0 ？ 原 创   A n d y . i   F r e e B u f   2 0 1 8 - 0 7 - 0 3 随 着 微 信 支 付 逐 渐 向 海 外 市 场 普 及 ， 越 来 越 多 的 外 国 友 人 及 店 铺 开 始 使 用 微 信 支 付 。 不 过 却 发 生 了 一 件 有 趣 的 随 着 微 信 支 付 逐 渐 向 海 外 市 场 普 及 ， 越 来 越 多 的 外 国 友 人 及 店 铺 开 始 使 用 微 信 支 付 。 不 过 却 发 生 了 一 件 有 趣 的 事 情 ， 国 外 一 名 白 帽 子 发 现 了 微 信 支 付 的 漏 洞 ， 但 却 不 知 道 如 何 联 系 微 信 安 全 的 人 员 ， 竟 然 在 事 情 ， 国 外 一 名 白 帽 子 发 现 了 微 信 支 付 的 漏 洞 ， 但 却 不 知 道 如 何 联 系 微 信 安 全 的 人 员 ， 竟 然 在 T w i t t e r 上 上 @ 3 6 0 N e t L a b 。 在 。 在 3 6 0 安 全 人 员 转 达 漏 洞 之 后 ， 微 信 安 全 团 队 已 经 及 时 跟 进 处 理 这 个 问 题 。 目 测 ， 下 一 波 安 全 人 员 转 达 漏 洞 之 后 ， 微 信 安 全 团 队 已 经 及 时 跟 进 处 理 这 个 问 题 。 目 测 ， 下 一 波 “ 微 信 微 信 致 谢 致 谢 3 6 0 ” 不 远 了 不 远 了 … … 根 据 白 帽 子 给 出 的 漏 洞 描 述 ， 使 用 微 信 支 付 时 ， 商 家 需 要 提 供 通 知 网 址 以 接 受 异 步 支 付 结 果 。   问 题 是 微 信 在 J A V A 版 本 S D K 中 的 实 现 存 在 一 个 x x e 漏 洞 。   攻 击 者 可 以 向 通 知 U R L 构 建 恶 意 p a y l o a d ， 根 据 需 要 窃 取 商 家 服 务 器 的 任 何 信 息 。   一 旦 攻 击 者 获 得 商 家 的 关 键 安 全 密 钥 （ m d 5 - k e y 和 m e r c h a n t - I d 等 ） ， 就 可 以 通 过 发 送 伪 造 信 息 来 欺 骗 商 家 购 买 任 何 东 西 而 无 需 付 费 。 微 信 可 以 通 过 更 新 s d k 修 复 问 题 ， 但 是 商 家 修 复 漏 洞 则 需 要 时 间 和 经 验 。
也 许 是 3 6 0 安 全 团 队 在 国 外 更 加 知 名 ， 发 现 微 信 支 付 漏 洞 之 后 ， 该 白 帽 子 却 不 知 如 何 联 系 微 信 安 全 团 队 ， 无 奈 只 能 在 T w i t t e r 上 @ 3 6 0 N e t L a b 。 3 6 0 的 安 全 人 员 也 在 得 知 消 息 之 后 告 知 微 信 团 队 ， 很 快 我 们 也 在 白 帽 T w i t t e r   的 推 文 下 看 到 了 微 信 安 全 团 队 的 回 复 ， 表 示 “ 已 经 在 紧 急 跟 进 这 个 问 题 ” 。 有 关 漏 洞 详 情 及 演 示 过 程 ， 可 点 击 链 接 查 看 ： h t t p : / / s e c l i s t s . o r g / f u l l d i s c l o s u r e / 2 0 1 8 / J u l / 3 * 本 文 作 者 ： 本 文 作 者 ： A n d y . i ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理