7月3日，據白帽匯安全研究院的消息，有網友在國外的安全社區(qū)公布了微信支付官方SDK（軟件工具開發(fā)包）存在的嚴重漏洞，此漏洞可導致商家服務器被入侵，一旦攻擊者獲得商家的關鍵安全密鑰（md5-key和merchant-Id等），他就可以通過發(fā)送偽造信息來欺騙商家而無需付費購買任何東西。

微信支付被曝漏洞

在使用微信支付時，商家需要提供通知網址以接受異步支付結果。問題是微信在JAVA版本SDK中的實現存在一個xxe漏洞。攻擊者可以向通知URL構建惡意payload，根據需要竊取商家服務器的任何信息。

換句話說，黑客利用微信支付的這個漏洞，能實現0元買買買的情況。

這并不是說說而已，這位網友還直接甩出了兩張圖，展示出漏洞利用的過程，中招者是vivo和陌陌。

▲陌陌的微信支付漏洞利用過程

▲vivo的微信支付漏洞利用過程

值得注意的是，目前漏洞的詳細信息以及攻擊方式已被公開，安全人員建議使用JAVA語言SDK（軟件開發(fā)工具包）開發(fā)微信支付功能的商戶，快速檢查并修復。（此處解釋一下，微信官方發(fā)布了自己的微信支付開發(fā)包，許多開發(fā)人員選擇使用官方最新版本，一般來講，SDK是按照編程語言區(qū)分，如果網站使用的是同一種語言，那么其開發(fā)使用的也就是對應種語言。但也有特殊情況，就是不使用官方的開發(fā)包，而使用開源的或自行開發(fā)的，這樣相對較少。）

那么，微信支付的官方SDK究竟誰會用？范圍多大？為什么黑客選擇陌陌和vivo開刀？商家和用戶會受到哪些影響？知道這個漏洞的黑客為什么不自己“悶聲發(fā)大財”，而要選擇將攻擊方式公開？

誰會用到微信支付的SDK

文章開頭提到，這個漏洞是關于微信支付的官方SDK的，那究竟誰會用到此類SDK呢？

白帽匯安全總監(jiān)“BaCde”?告訴雷鋒網(公眾號：雷鋒網)，所有需要開通微信支付的商家都很有可能用到！

比如，我們平時使用微信支付的時候，都會有一個付款的二維碼，或者網購的時候，也有微信的支付渠道。這就需要商家與微信支付建立一個專屬通道。以你去買面包為例，在你掃碼的瞬間，微信支付和商家的對話是這樣的：

微信支付：你是哪家店？

面包店：我是某某面包店，我的代號是***

微信支付：訂單是你生成的嗎？

面包店：是的。

微信支付：我收到了50塊，錢數對嗎？

面包店：對的。

微信支付：對的話你們訂單系統趕緊處理一下，人家付款成功了。

面包店：好的，這就處理。

這個過程叫“商戶回調接口”，也就是說，所有的商戶要想開通微信支付，不管是線上還是線下的，都需要通過與微信支付的這個接口來交流，這個接口有一套標準的定義，比如訂單號、用戶信息、價格等，最后有一個簽名來保證雙方交易的真實可靠。

這時，微信官方為了方便商戶，一般都會有一個官方的SDK，來使得各家商戶更加順暢和安全地接入微信支付，這時，這個SDK開發(fā)包就存在了這些商戶的服務器上，與此同時，開發(fā)包的漏洞也就直接影響了商戶服務器的安全性。

如果有一天，黑客利用SDK上面的漏洞控制了商家的服務器，那么這些訂單狀態(tài)、用戶信息和價格等就很有可能被黑客拿走并且進行篡改。

據BaCde透露，由于微信官方的SDK有問題，目前所有使用基于微信支付JAVA?SDK開發(fā)的微信支付功能都可能受影響。

那黑客為什么選擇陌陌和vivo來開刀呢？聽起來，這兩家一個是手機廠商，一個是社交軟件，和我們平時刷二維碼或者網購的某某商家還是有區(qū)別。

BaCde解釋，vivo這個可能是vivo的在線商城，比如黑客可以用微信支付不花一分錢來買走在線商城的東西。而對于陌陌中招，則有可能是因為它可以通過微信支付進行會員充值，也有漏洞可以利用。

所以，也許這名攻擊者是經常用vivo手機的單身狗？