微信支付被曝安全漏洞 享受随便买买买的滋味

2018-06-10
字体:
浏览:
文章简介:日前,有网友在国外的安全社区公布了微信支付官方SDK(软件工具开发包)存在的严重漏洞.此漏洞可导致商家服务器被入侵,一旦攻击者获得商家的关键安全密钥,他就可以通过发送伪造信息来欺骗商家而无需付费购买任何东西.这并不是说说而已,这位网友还直接甩出了两张图,展示出漏洞利用的过程,中招者是vivo和陌陌.值得注意的是,目前漏洞的详细信息以及攻击方式已被公开,安全人员建议使用JAVA语言SDK(软件开发工具包)开发微信支付功能的商户,快速检查并修复.文章开头提到,这个漏洞是关于微信支付的官方SDK的,那

日前,有网友在国外的安全社区公布了微信支付官方SDK(软件工具开发包)存在的严重漏洞。此漏洞可导致商家服务器被入侵,一旦攻击者获得商家的关键安全密钥,他就可以通过发送伪造信息来欺骗商家而无需付费购买任何东西。这并不是说说而已,这位网友还直接甩出了两张图,展示出漏洞利用的过程,中招者是vivo和陌陌。

值得注意的是,目前漏洞的详细信息以及攻击方式已被公开,安全人员建议使用JAVA语言SDK(软件开发工具包)开发微信支付功能的商户,快速检查并修复。文章开头提到,这个漏洞是关于微信支付的官方SDK的,那究竟谁会用到此类SDK呢?白帽汇安全总监“BaCde”告诉记者,所有需要开通微信支付的商家都很有可能用到!

比如,我们平时使用微信支付的时候,都会有一个付款的二维码,或者网购的时候,也有微信的支付渠道。这就需要商家与微信支付建立一个专属通道。这个过程叫“商户回调接口”,也就是说,所有的商户要想开通微信支付,不管是线上还是线下的,都需要通过与微信支付的这个接口来交流。这个接口有一套标准的定义,比如订单号、用户信息、价格等,最后有一个签名来保证双方交易的真实可靠。

这时,微信官方为了方便商户,一般都会有一个官方的SDK,来使得各家商户更加顺畅和安全地接入微信支付。这时,这个SDK开发包就存在了这些商户的服务器上,与此同时,开发包的漏洞也就直接影响了商户服务器的安全性。如果有一天,黑客利用SDK上面的漏洞控制了商家的服务器,那么这些订单状态、用户信息和价格等就很有可能被黑客拿走并且进行篡改。

据BaCde透露,由于微信官方的SDK有问题,目前所有使用基于微信支付JAVA SDK开发的微信支付功能都可能受影响。那黑客为什么选择陌陌和vivo来开刀呢?听起来,这两家一个是手机厂商,一个是社交软件,和我们平时刷二维码或者网购的某某商家还是有区别。BaCde解释,vivo这个可能是vivo的在线商城,比如黑客可以用微信支付不花一分钱来买走在线商城的东西。

对于陌陌中招,则有可能是因为它可以通过微信支付进行会员充值,也有漏洞可以利用。据悉,目前,陌陌和vivo已经修复了相关的漏洞,但针对此漏洞,微信官方并未发布相关安全公告,也没有更新微信支付的SDK版本。也就是说,所有使用微信支付官方SDK的商户,并且语言是JAVA的,都还处于被攻击的危险之中。