微信支付xxe漏洞php,微信支付流程及其XXE漏洞-CSDN博客

0x00 概述

7月4日，网上爆出微信支付sdk存在xxe漏洞，原因是商户用来获取微信支付结果的notify_url接口可以接受XML数据，而且未禁用外部实体，利用该漏洞可以读取支付服务器文件，甚至可能获取商户key实现0元支付。

0x01 微信支付流程

以微信公众号支付为例，其他支付方式大同小异

基本流程：

1.商户后台携带支付数据调用微信统一下单api:https://api.mch.weixin.qq.com/pay/unifiedorder获取prepay_id。

2.调起微信支付内置js，点支付输密码，支付成功(微信客户端与微信服务器交互)。

3.微信服务器向notify_url(回调地址)返回支付结果通知给商户后台(须验签)，这一步才是最终交易成功。

微信支付签名算法：//—–来自https://pay.weixin.qq.com/wiki/doc/api/jsapi.php?chapter=4_3—————————

签名生成的通用步骤如下：

第一步，设所有发送或者接收到的数据为集合M，将集合M内非空参数值的参数按照参数名ASCII码从小到大排序(字典序)，使用URL键值对的格式(即key1=value1&key2=value2…)拼接成字符串stringA。

特别注意以下重要规则：

◆ 参数名ASCII码从小到大排序(字典序)；

◆ 如果参数的值为空不参与签名；

◆ 参数名区分大小写；

◆ 验证调用返回或微信主动通知签名时，传送的sign参数不参与签名，将生成的签名与该sign值作校验。

◆ 微信接口可能增加字段，验证签名时必须支持增加的扩展字段

第二步，在stringA最后拼接上key得到stringSignTemp字符串，并对stringSignTemp进行MD5运算，再将得到的字符串所有字符转换为大写，得到sign值signValue。

◆ key设置路径：微信商户平台(pay.weixin.qq.com)–>账户设置–>API安全–>密钥设置

//—————————————————————————————————————————-

0x01 微信支付XXE漏洞

此漏洞发生在上述支付流程第三步，攻击者向notify_url发送恶意xml数据，形成xxe，可能获取key达到0元支付的效果。

漏洞文件：

WXPayUtil.java:38

关键代码：

public static Map xmlToMap(String strXML) throws

Exception {

try {

Map data = new HashMap();

DocumentBuilderFactory documentBuilderFactory =

DocumentBuilderFactory.newInstance();

DocumentBuilder documentBuilder =

documentBuilderFactory.newDocumentBuilder();

InputStream stream = new ByteArrayInputStream(strXML.getBytes(

"UTF-8"));

org.w3c.dom.Document doc = documentBuilder.parse(stream);

doc.getDocumentElement().normalize();

NodeList nodeList = doc.getDocumentElement().getChildNodes();

for (int idx = 0; idx < nodeList.getLength(); ++idx) {

Node node = nodeList.item(idx);

if (node.getNodeType() == Node.ELEMENT_NODE) {

org.w3c.dom.Element element = (org.w3c.dom.Element) node

;

data.put(element.getNodeName(), element.getTextContent

());

}

try {

stream.close();

} catch (Exception ex) {

// do nothing

}

return data;

} catch (Exception ex) {

WXPayUtil.getLogger().warn("Invalid XML, can not convert to

map. Error message: {}. XML content: {}", ex.getMessage(), strXML);

throw ex;

}

]

解析xml没有禁用外部实体……

收到支付结果通知的官方demo:

收到支付结果通知时，需要验证签名，可以这样做：

“`java

import com.github.wxpay.sdk.WXPay;

import com.github.wxpay.sdk.WXPayUtil;

import java.util.Map;

public class WXPayExample {

public static void main(String[] args) throws Exception {

String notifyData = "...."; // 支付结果通知的xml格式数据

MyConfig config = new MyConfig();

WXPay wxpay = new WXPay(config);

Map notifyMap = WXPayUtil.xmlToMap(notifyData); // 转换成map

if (wxpay.isPayResultNotifySignatureValid(notifyMap)) {

// 签名正确

// 进行处理。

// 注意特殊情况：订单已经退款，但收到了支付结果成功的通知，不应把商户侧订单状态从退款改成支付成功

}

else {

// 签名错误，如果数据里没有sign字段，也认为是签名错误

}

```

%xxe;

data.dtd:

'>">

%shell;

%upload;

若想达到0元支付，在读取到key之后再形成签名伪造支付结果通知即可，如：

0x02 修复方案

参考各语言的xxe修复，如：

php:

libxml_disable_entity_loader(true);

java:

DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();

dbf.setExpandEntityReferences(false);

python:

from lxml import etree

xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))

这次微信sdk的修复：

WXPayUtil.java:38

DocumentBuilder documentBuilder = WXPayXmlUtil.newDocumentBuilder();

InputStream stream = new ByteArrayInputStream(strXML.getBytes("UTF-8"));

org.w3c.dom.Document doc = documentBuilder.parse(stream);

WXPayXmlUtil.java:13

public final class WXPayXmlUtil {

public static DocumentBuilder newDocumentBuilder() throws ParserConfigurationException {

DocumentBuilderFactory documentBuilderFactory = DocumentBuilderFactory.newInstance();

documentBuilderFactory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

documentBuilderFactory.setFeature("http://xml.org/sax/features/external-general-entities", false);

documentBuilderFactory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);

documentBuilderFactory.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);

documentBuilderFactory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);

documentBuilderFactory.setXIncludeAware(false);

documentBuilderFactory.setExpandEntityReferences(false);

return documentBuilderFactory.newDocumentBuilder();

}

0x03 结语

这个微信支付xxe如果要实现0元支付，不仅要知道notify_url，还要知道key的存放位置(据说key还可以读配置文件反编译获取)，而且如果有核对金额之类的，可能就支付失败了，所以存在一定难度，但是危害很大。

微信支付用的key微信服务器和商户后台都相同，如果使用非对称进行签名就安全些。

还有数据传输，尽量用json吧。

0x04 参考资料