谈谈微信支付曝出的漏洞

一、背景

        昨天（2018-07-04）微信支付的SDK曝出重大漏洞（XXE漏洞），通过该漏洞，攻击者可以获取服务器中目录结构、文件内容，如代码、各种私钥等。获取这些信息以后，攻击者便可以为所欲为，其中就包括众多媒体所宣传的“0元也能买买买”。

        漏洞报告地址：

http://seclists.org/fulldisclosure/2018/Jul/3

二、漏洞原理

1.  XXE漏洞

        此次曝出的漏洞属于XXE漏洞，即XML外部实体注入（XML External Entity Injection）。

        XML文档除了可以包含声明和元素以外，还可以包含文档类型定义（即DTD）；如下图所示。

        在DTD中，可以引进实体，在解析XML时，实体将会被替换成相应的引用内容。该实体可以由外部引入(支持http、ftp等协议，后文以http为例说明)，如果通过该外部实体进行攻击，就是XXE攻击。

        可以说，XXE漏洞之所以能够存在，本质上在于在解析XML的时候，可以与外部进行通信；当XML文档可以由攻击者任意构造时，攻击便成为可能。在利用XXE漏洞可以做的事情当中，最常见最容易实现的，便是读取服务器的信息，包括目录结构、文件内容等；本次微信支付爆出的漏洞便属于这一种。

 

2.  微信支付漏洞