微信支付关于XML解析存在的安全问题指引

最新推荐文章于 2024-07-18 15:19:39 发布

东边的小山

最新推荐文章于 2024-07-18 15:19:39 发布

阅读量5.3k

点赞数 1

分类专栏：微信公众平台

本文链接：https://blog.csdn.net/yelin042/article/details/80913544

版权

微信公众平台专栏收录该内容

142 篇文章 5 订阅

订阅专栏

微信支付商户，最近暴露的XML外部实体注入漏洞(XML External Entity Injection，简称 XXE)，该安全问题是由XML组件默认没有禁用外部实体引用导致，非微信支付系统存在漏洞。

如果你在使用支付业务回调通知中，存在以下场景有使用XML解析的情况，请务必检查是否对进行了防范。

场景1：支付成功通知；
场景2：退款成功通知；
场景3：委托代扣签约、解约、扣款通知；
场景4：车主解约通知；

注：APP支付SDK不受影响。

检查及修复建议

1.如果您的后台系统使用了官方sdk，请更新sdk到最新版本 sdk的链接: https://pay.weixin.qq.com/wiki/doc/api/jsapi.php?chapter=11_1
2.如果您是有系统提供商，请联系提供商进行核查和升级修复；
3.如果您是自研系统，请联系技术部门按以下指引核查和修复：

XXE漏洞需要你在代码中进行相应的设置，不同语言设置的内容不同，下面提供了几种主流开发语言的设置指引：
【PHP】
libxml_disable_entity_loader(true);

【JAVA】
DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();
dbf.setExpandEntityReferences(false);
不同java组件修复方案不一样，请参考下文【附录】中获取更多帮助
【.Net】
XmlResolver = null;

【Python】
from lxml import etree
xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))

【c/c++(常用库为libxml2 libxerces-c)】

【libxml2】:
确保关闭配置选项：XML_PARSE_NOENT 和 XML_PARSE_DTDLOAD
2.9版本以上已修复xxe

【libxerces-c】：
如果用的是XercesDOMParser:
XercesDOMParser *parser = new XercesDOMParser;
parser->setCreateEntityReferenceNodes(false);

如果是用SAXParser:
SAXParser* parser = new SAXParser;
parser->setDisableDefaultEntityResolution(true);

如果是用SAX2XMLReader:
SAX2XMLReader* reader = XMLReaderFactory::createXMLReader();
parser->setFeature(XMLUni::fgXercesDisableDefaultEntityResolution, true);

附录：更多开源库/语言版本的修复建议可参考：
https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Prevention_Cheat_Sheet#C.2FC.2B.2B