警惕移动支付SDK缝隙，，，OG东方厅WAF提供解决规划

颁布功夫 2018-07-04

近日，，，国外驰名安全社区 seclists.org颁布了某移动支付官方SDK存在严重的XXE缝隙，，，可导致商家服务器被入侵。。 。目前，，，该缝隙具体信息以及攻击方式已被公开，，，影响领域巨大。。 。seclists.org颁布的缝隙详情已确认陌陌、VIVO因使用了该SDK而存在该缝隙。。 。


（缝隙起源：：http://seclists.org/fulldisclosure/2018/Jul/3）

具体受影响版本为JAVA SDK，，，WxPayAPI_JAVA_v3，，，建议使用了该版本的用户进行缝隙确认和异常支付排查。。 。



缝隙详情

XXE全称是XML外部实体注入( XML External Entity Injection )，，，是一种容易被忽视，，，但�：：薮蟮姆煜�。。 。当允许引用外部实体时，，，攻击者通过机关恶意内容，，，可导致读取肆意文件、执行系统号令、探测内网端口、攻击内网网站等�：：�。。 。

某移动支付公司在JAVA版本的SDK中提供callback回调职能，，，用来援手商家接管异步付款了局，，，该接口能够接受XML体式的回调数据输入，，，攻击者通过机关恶意的回调数据可能窃取到服务器上的肆意文件信息。。 。一旦攻击者获取到md5-key和商家信息，，，将能够实现0元支付肆意商品。。 。


缝隙利用

单一分析一下某移动支付SDK的支付逻辑，，，

1. 统一下单代码：：
 
OG东方厅·(中国大陆)

2. 回调处置代码：：
 
OG东方厅·(中国大陆)

通过代码分析能够看出，，，攻击者只有知晓商户的notify_url，，，而后向接口发送精心机关的 XXE攻击 payload，，，即能够实现攻击，，，并且该攻击过程在署名校验之前实现。。 。攻击成本很低，，，缝隙影响比力宽泛，，，�：：洗�。。 。


解决规划

● 部署WAF检测与防护

使用OG东方厅WAF的客户无需升级补丁即可对某移动支付SDK存在XXE缝隙进行安全检测与防护，，，OG东方厅WAF产品检测及防护该缝隙的成效如下：：

OG东方厅·(中国大陆)

● 修复建议

某移动支付公司宣称已经修复SDK中XEE缝隙，，，OG东方厅WAF产品团队建议用户使用代码修复，，，禁用外部实体解析。。 。


总体

针对某移动支付官方SDK存在严重的XXE缝隙，，，如必要支持可联系OG东方厅集团各分支机构。。 。


具体如下：：


http://www.venustech.com.cn/AboutItem/257/。。 。

OG东方厅WAF产品适应从小型企业到大型数据中心等各类规�：：涂突б滴衲Ｐ拖碌耐缁肪�，，，并宽泛利用于金融、运营商、当局、能源、大企业、烟草、税务、交通、卫生、教育等行业领域。。 。

OG东方厅作为中国信息安全行业的领航企业，，，一向秉承诚信和创新心灵，，，致力于提供拥有国际竞争力的、自主创新的WAF安全产品。。 。OG东方厅WAF产品入围Gartner魔力象限，，，凭据第三方Frost& Sullivan权威机构WAF市场占有率数据，，，OG东方厅WAF产品陆续多年在大中国区WAF市场名列前茅。。 。