QQ客服:4000600990 客服热线:4001610866 投诉邮箱:jubao@knownsec.com

热门搜索词

抗D保 创宇盾 HSTS SNI 新功能

热门文章

  • 漏洞预警 | 开源软件工具Jenkins...

    近日,Jenkins发布安全公告,称插件Script Security、Pipeline: Groovy和Pipeline: Declarativ 存在沙箱绕过漏洞,CVE编号分别为:CVE-2019-1003000、CVE-2019-1003001和CVE-2019-1003002。利用该漏洞,攻击者可不经身份认证实现远程代码执行。

  • 公告 | 关于云安全用户请尽快完成实名认...

    根据《中华人民共和国网络安全法》关于“网络运营者不得为未完成实名认证的用户提供相关服务”等的相关法律规定,请未完成实名制的客户尽快完成处理。

  • 年度报告| 知道创宇云安全2018年度网...

    2018年,网络安全领域暗流涌动,攻击趋势不断攀升,T级DDoS攻击多次爆发、数据泄露事件层出不穷、勒索软件大行其道。此外,随着我国互联网行业“出海”新浪潮的来临,海外业务的激增刺激了大量海外黑客势力加入到“分蛋糕”的队伍。

关注知道创宇云安全

获取最新安全动态

预警 | 微信支付SDK存在XXE漏洞 创宇盾无需升级即可防御

来源:知道创宇云安全 2018.07.03

漏洞信息来源:

http://seclists.org/fulldisclosure/2018/Jul/3(点击了解详情)

 

受影响版本:

JAVA SDK,WxPayAPI_JAVA_v3,建议使用了该版本的公司进行异常支付排查。

微信在JAVA版本的SDK中提供的回调回调功能,用来帮助商家接收异步付款结果,该接口接受XML格式的数据,攻击者可以构造恶意的回调数据(XML格式)来窃取商家服务器上的任何信息。一旦攻击者获得了关键支付的安全密钥(MD5密钥和商家信息,将可以直接实现0元支付购买任何商品)

 

漏洞详情:

 

 

利用细节:

 

修复建议:

用户可使用开发语言提供的禁用外部实体的方法。java禁用外部实体的代码如下:

DocumentBuilderFactory dbf=DocumentBuilderFactory.newInstance();
dbf.setExpandEntityReferences(false);

 

404积极防御实验室第一时间进行响应。经确认,知道创宇云安全旗下云防御平台——创宇盾,无须升级安全策略即可有效拦截利用该漏洞的攻击,已接入的用户无需担心。

×
×

身份信息验证

应国家法律法规相关要求,自2017年6月1日起使用信息发布、即时通信等服务时,需进行身份信息验证。为保障您对相关服务功能的正常使用,请验证手机邮箱姓名身份证号,感谢您的支持和理解。

验证
4001610866 4000600990 关注