俗语说：天下没有白吃的午餐！天上没有白掉的馅饼！所得所劳。然而，小编今天听说不用花一分钱就能在某电商平台随便买的事情？你相信吗？
昨日，有网友在国外安全社区公布了微信支付官方SDK(软件工具开发包)存在的严重漏洞，此漏洞可导致商家服务器被入侵，一旦攻击者获得商家的关键安全密钥，就可以通过发送伪造信息来欺骗商家而无需付费购买任何东西。可以买买买而不需要支付任何费用，简直就是“白吃的午餐”“白捡的馅饼”。
陌陌的微信支付漏洞利用过程
vivo的微信支付漏洞利用过程
网友还晒出了如何利用漏洞进行买买买的截图，中招者是vivo和陌陌。利用这个漏洞，黑客不仅可以0元买买买，还有倒卖用户信息的可能。
不过这个漏洞一经发现就被微信修复了。
对此，微信支付方面紧急发布公告：
尊敬的微信支付商户：
您的系统在接受微信支付XML格式的商户回调通知（支付成功通知、退款成功通知、委托代扣签约/解约/扣款通知、车主解约通知）时，如未正确地进行安全设置或编码，将会引入有较大安全隐患的XML 外部实体注入漏洞(XML External Entity Injection，简称 XXE)。
请贵司研发人员务必参考微信支付安全实践指引，进行安全隐患确认和排除。
腾讯方面在向媒体回应时表示，微信支付技术安全团队已第一时间关注及排查，并于今天中午对官方网站上该SDK漏洞进行更新，修复了已知的安全漏洞，并提醒商户及时更新。
微信的这个修复速度可谓是光速，小编“捡馅饼”的美梦又被打碎了，还是实际点，一步一步，稳扎稳打的来吧！
| 留言与评论（共有 0 条评论） |
