警惕移动支付SDK缝隙，沙巴WAF提供解决规划
颁布功夫 2018-07-04近日，国表驰名安全社区 seclists.org颁布了某移动支付官方SDK存在严沉的XXE缝隙，可导致商家服务器被入侵 。目前，该缝隙具体信息以及攻击方式已被公开，影响领域巨大 。seclists.org颁布的缝隙详情已确认陌陌、VIVO因使用了该SDK而存在该缝隙 。
（缝隙起源：http://seclists.org/fulldisclosure/2018/Jul/3）
具体受影响版本为JAVA SDK，WxPayAPI_JAVA_v3，建议使用了该版本的用户进行缝隙确认和异常支付排查 。
缝隙详情
XXE全称是XML表部实体注入( XML External Entity Injection )，是一种容易被忽视，但风险巨大的缝隙 。当允许引用表部实体时，攻击者通过机关恶意内容，可导致读取肆意文件、执行系统号令、探测内网端口、攻击内网网站等风险 。
某移动支付公司在JAVA版本的SDK中提供callback回调职能，用来援手商家接管异步付款了局，该接口能够接受XML体式的回调数据输入，攻击者通过机关恶意的回调数据可能窃取到服务器上的肆意文件信息 。一旦攻击者获取到md5-key和商家信息，将能够实现0元支付肆意商品 。
缝隙利用
单一分析一下某移动支付SDK的支付逻辑，
1. 统一下单代码：
2. 回调处置代码：
通过代码分析能够看出，攻击者只有知路商户的notify_url，而后向接口发送精心机关的 XXE攻击 payload，即能够实现攻击，并且该攻击过程在署名校验之前实现 。攻击成本很低，缝隙影响比力宽泛，风险较大 。
解决规划
● 部署WAF检测与防护
使用沙巴WAF的客户无需升级补丁即可对某移动支付SDK存在XXE缝隙进行安全检测与防护，沙巴WAF产品检测及防护该缝隙的成效如下：
● 建复建议
某移动支付公司宣称已经建复SDK中XEE缝隙，沙巴WAF产品团队建议用户使用代码建复，禁用表部实体解析 。
总体
针对某移动支付官方SDK存在严沉的XXE缝隙，如必要支持可联系沙巴集团各分支机构 。
具体如下：
沙巴WAF产品适应从幼型企业到大型数据中心等各类规模和客户业务模型下的网络环境，并宽泛利用于金融、运营商、当局、能源、大企业、烟草、税务、交通、卫生、教育等行业领域 。
沙巴作为中国信息安全行业的领航企业，一向秉承诚信和创新心灵，致力于提供拥有国际竞争力的、自主创新的WAF安全产品 。沙巴WAF产品入围Gartner魔力象限，凭据第三方Frost& Sullivan权威机构WAF市场占有率数据，沙巴WAF产品陆续多年在大中国区WAF市场名列前茅 。
京公网安备11010802024551号