搜尋結果
2019年9月18日 · 昨日在国外安全社区seclists有一个署名叫Rose Jackcode的白帽子公布了微信支付sdk的一个严重的安全漏洞 (xxe漏洞)。 攻击者可以伪造一个恶意的回调数据请求 (xml格式)，读取商户服务器上任意文件，甚至可以执行远程系统命令，导致商户服务器被入侵。 目前微信支付安全团队表示已对该SDK进行更新，修复了已知的安全漏洞，并在此提醒商户及时更新。 虽然微信支付官网上的sdk更新了，但是漏洞是存在于商户的网站系统中，需要商户下载最新的sdk对系统进行更新发布（或者看下面的自己修复方案）。 因此目前还有大量的微信商户系统存在此漏洞，相关商户需要及时更新。 来看看该微信支付sdk漏洞如何造成的：
2018年7月8日 · 微信支付的sdk中提供了WXPayUtil这个工具类，该类中实现了xmltoMap和maptoXml这两个方法，而这次的微信支付的xxe漏洞爆发点就在xmltoMap方法中。 该方法是为了将xml格式的字符串strXML转化为map。
2018年7月5日 · 近日，国家信息安全漏洞库（CNNVD）收到关于微信支付SDK XXE（XML External Entity）漏洞（CNNVD-201807-083）情况的报送。. 成功利用该漏洞的攻击者可以远程读取服务器文件，获取商户服务器上的隐私数据，甚至可以支付任意金额购买商品。. 使用有漏洞的Java ...
2018年7月4日 · 简介： 谈谈微信支付曝出的漏洞. 一、背景. 昨天（2018-07-04）微信支付的SDK曝出重大漏洞（XXE漏洞），通过该漏洞，攻击者可以获取服务器中目录结构、文件内容，如代码、各种私钥等。 获取这些信息以后，攻击者便可以为所欲为，其中就包括众多媒体所宣传的“0元也能买买买”。 漏洞报告地址： http://seclists.org/fulldisclosure/2018/Jul/3. 二、漏洞原理. 1. XXE漏洞. 此次曝出的漏洞属于XXE漏洞，即XML外部实体注入（XML External Entity Injection）。 XML文档除了可以包含声明和元素以外，还可以包含文档类型定义（即DTD）；如下图所示。
2018年7月29日 · 昨天（2018-07-04）微信支付的 SDK 曝出重大漏洞（XXE漏洞），通过该漏洞，攻击者可以获取 服务器 中目录结构、文件内容，如代码、各种私钥等。. 获取这些信息以后，攻击者便可以为所欲为，其中就包括众多媒体所宣传的“0元也能买买买”。. 漏洞报告 ...
2018年7月4日 · 3日，有网络安全机构曝光了一组微信支付的技术漏洞，据称攻击者可利用该漏洞将自己伪装成微信支付平台，通过篡改数据的方式获得“0元购”特权。
2018年7月4日 · 针对近日被网友爆出的微信支付安全漏洞问题，腾讯方面回复36氪称，微信支付技术安全团队第一时间关注及排查，并已对官方网站上受影响的服务 ...
2018年7月4日 · 漏洞预警 | 微信支付SDK存在XXE漏洞. 0x01 漏洞概要. 漏洞的始发是在seclists.org上的. XXE in WeChat Pay Sdk ( WeChat leave a backdoor on merchant websites) 看描述挺吓人的，微信wechat的SDK有XXE漏洞（微信在商家的网站留了后门）。 报漏洞是好事，但是不要“搞事情”啊，好好写标题不行么：） 但是仔细看的话，出问题的是是在JAVASDK中WXPayUtil.java中. # java-sdk-v3\src\main\java\com\github\wxpay\sdk\WXPayUtil.java.
2023年8月18日 · 系统漏洞检测及修复 - 通用规则 | 微信支付商户文档中心. 更新时间：2023.08.18. 系统漏洞包括操作系统本身的安全漏洞，以及运行在操作系统纸上的应用程序（例如Apache、Nginx、MySQL）的安全漏洞。 对于部署在腾讯服务器上的开发者应用，腾讯后台将对腾讯服务器进行安全漏洞扫描，可检测出包括Apache、Nginx、MySQL等的常见安全漏洞。 下面是漏洞的定义，检测方法以及修复方案。 1. Apache. 1.1 UserDir漏洞. 名称 ：Apache UserDir 漏洞. 描述 ：早期版本的Apache默认会开启UserDir，这个无关功能会泄露主机的账户名，也可能由于配置不当导致敏感文件被下载。
2023年8月18日 · 最新安全漏洞及修复 - 通用规则 | 微信支付商户文档中心. 更新时间：2023.08.18. 1. phpmyadmin非官方版本被添加web后门漏洞. 【漏洞发现时间】： 2012年09月. 【攻击原理】： phpmyadmin的官方分站被黑客攻击并在源代码包中增加了web后门，黑客可以通过连接该后门直接获取用户网站的管理权限，进一步攻击服务器甚至渗透内网。 【检测方法】：通过计算文件的hash值是否与官方网站提供的hash一致来判断。 Phpmyadmin3.5.2.2的官方下载文件hash值列表参考： http://www.phpmyadmin.net/home_page/downloads.php.
