СÐÄÒÆ¶¯Ö§¸¶SDKÎó²î£¬×ðÁú¿Ê±WAFÌṩ½â¾ö¼Æ»®
Ðû²¼Ê±¼ä 2018-07-04¿ËÈÕ£¬ÍâÑó×ÅÃûÇå¾²ÉçÇø seclists.orgÐû²¼ÁËÄ³ÒÆ¶¯Ö§¸¶¹Ù·½SDK±£´æÑÏÖØµÄXXEÎó²î£¬¿Éµ¼ÖÂÉ̼ҷþÎñÆ÷±»ÈëÇÖ¡£ÏÖÔÚ£¬¸ÃÎó²îÏêϸÐÅÏ¢ÒÔ¼°¹¥»÷·½·¨Òѱ»¹ûÕæ£¬Ó°Ïì¹æÄ£ÖØ´ó¡£seclists.orgÐû²¼µÄÎó²îÏêÇéÒÑÈ·ÈÏİİ¡¢VIVOÒòʹÓÃÁ˸ÃSDK¶ø±£´æ¸ÃÎó²î¡£
£¨Îó²îȪԴ£ºhttp://seclists.org/fulldisclosure/2018/Jul/3£©
ÏêϸÊÜÓ°Ïì°æ±¾ÎªJAVA SDK£¬WxPayAPI_JAVA_v3£¬½¨ÒéʹÓÃÁ˸ð汾µÄÓû§¾ÙÐÐÎó²îÈ·ÈϺÍÒì³£Ö§¸¶ÅŲ顣
Îó²îÏêÇé
XXEÈ«³ÆÊÇXMLÍⲿʵÌå×¢Èë( XML External Entity Injection )£¬ÊÇÒ»ÖÖÈÝÒ×±»ºöÊÓ£¬µ«Î£º¦ÖØ´óµÄÎó²î¡£µ±ÔÊÐíÒýÓÃÍⲿʵÌåʱ£¬¹¥»÷Õßͨ¹ý½á¹¹¶ñÒâÄÚÈÝ£¬¿Éµ¼Ö¶ÁÈ¡í§ÒâÎļþ¡¢Ö´ÐÐϵͳÏÂÁ̽²âÄÚÍø¶Ë¿Ú¡¢¹¥»÷ÄÚÍøÍøÕ¾µÈΣº¦¡£
Ä³ÒÆ¶¯Ö§¸¶¹«Ë¾ÔÚJAVA°æ±¾µÄSDKÖÐÌṩcallback»Øµ÷¹¦Ð§£¬ÓÃÀ´×ÊÖúÉ̼ÒÎüÊÕÒì²½¸¶¿îЧ¹û£¬¸Ã½Ó¿Ú¿ÉÒÔ½ÓÊÜXMLÃûÌõĻص÷Êý¾ÝÊäÈ룬¹¥»÷Õßͨ¹ý½á¹¹¶ñÒâµÄ»Øµ÷Êý¾Ý¿ÉÄÜÇÔÈ¡µ½·þÎñÆ÷ÉϵÄí§ÒâÎļþÐÅÏ¢¡£Ò»µ©¹¥»÷Õß»ñÈ¡µ½md5-keyºÍÉ̼ÒÐÅÏ¢£¬½«¿ÉÒÔʵÏÖ0ÔªÖ§¸¶í§ÒâÉÌÆ·¡£
Îó²îʹÓÃ
¼òÆÓÆÊÎöÒ»ÏÂÄ³ÒÆ¶¯Ö§¸¶SDKµÄÖ§¸¶Âß¼£¬
1. ͳһϵ¥´úÂ룺

2. »Øµ÷½âÀí´úÂ룺

ͨ¹ý´úÂëÆÊÎö¿ÉÒÔ¿´³ö£¬¹¥»÷ÕßÖ»ÒªÖªµÀÉÌ»§µÄnotify_url£¬È»ºóÏò½Ó¿Ú·¢ËÍÈ«ÐĽṹµÄ XXE¹¥»÷ payload£¬¼´¿ÉÒÔÍê³É¹¥»÷£¬²¢ÇҸù¥»÷Àú³ÌÔÚÊðÃûУÑé֮ǰÍê³É¡£¹¥»÷±¾Ç®ºÜµÍ£¬Îó²îÓ°Ïì½ÏÁ¿ÆÕ±é£¬Î£º¦½Ï´ó¡£
½â¾ö¼Æ»®
¡ñ °²ÅÅWAF¼ì²âÓë·À»¤
ʹÓÃ×ðÁú¿Ê±WAFµÄ¿Í»§ÎÞÐèÉý¼¶²¹¶¡¼´¿É¶ÔÄ³ÒÆ¶¯Ö§¸¶SDK±£´æXXEÎó²î¾ÙÐÐÇå¾²¼ì²âÓë·À»¤£¬×ðÁú¿Ê±WAF²úÆ·¼ì²â¼°·À»¤¸ÃÎó²îµÄЧ¹ûÈçÏ£º

¡ñ ÐÞ¸´½¨Òé
Ä³ÒÆ¶¯Ö§¸¶¹«Ë¾Ðû³ÆÒѾÐÞ¸´SDKÖÐXEEÎó²î£¬×ðÁú¿Ê±WAF²úÆ·ÍŶӽ¨ÒéÓû§Ê¹ÓôúÂëÐÞ¸´£¬½ûÓÃÍⲿʵÌåÆÊÎö¡£
×ÜÌå
Õë¶ÔÄ³ÒÆ¶¯Ö§¸¶¹Ù·½SDK±£´æÑÏÖØµÄXXEÎó²î£¬ÈçÐèÒªÖ§³Ö¿ÉÁªÏµ×ðÁú¿Ê±¼¯ÍŸ÷·ÖÖ§»ú¹¹¡£
ÏêϸÈçÏ£º
×ðÁú¿Ê±WAF²úƷ˳Ӧ´ÓСÐÍÆóÒµµ½´óÐÍÊý¾ÝÖÐÐĵÈÖÖÖÖ¹æÄ£ºÍ¿Í»§ÓªÒµÄ£×ÓϵÄÍøÂçÇéÐΣ¬²¢ÆÕ±éÓ¦ÓÃÓÚ½ðÈÚ¡¢ÔËÓªÉÌ¡¢Õþ¸®¡¢ÄÜÔ´¡¢´óÆóÒµ¡¢Ñ̲ݡ¢Ë°Îñ¡¢½»Í¨¡¢ÎÀÉú¡¢½ÌÓýµÈÐÐÒµÁìÓò¡£
×ðÁú¿Ê±×÷ΪÖйúÐÅÏ¢Çå¾²ÐÐÒµµÄÁ캽ÆóÒµ£¬Ò»Ö±³Ð¼Ì³ÏÐźÍÁ¢Ò쾫Éñ£¬ÖÂÁ¦ÓÚÌṩ¾ßÓйú¼Ê¾ºÕùÁ¦µÄ¡¢×ÔÖ÷Á¢ÒìµÄWAFÇå¾²²úÆ·¡£×ðÁú¿Ê±WAF²úÆ·ÈëΧGartnerħÁ¦ÏóÏÞ£¬Æ¾Ö¤µÚÈý·½Frost& SullivanȨÍþ»ú¹¹WAFÊг¡Õ¼ÓÐÂÊÊý¾Ý£¬×ðÁú¿Ê±WAF²úÆ·Ò»Á¬¶àÄêÔÚ´óÖйúÇøWAFÊг¡Ñ¹µ¹Ò»ÇС£


¾©¹«Íø°²±¸11010802024551ºÅ