XXE in WeChat Pay Sdk

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

› Authy

› Dashlane 密码管理器

这是一个创建于 2366 天前的主题，其中的信息可能已经有所发展或是发生改变。

sdk 来自 WxPayApi_JAVA_v3.zip
文章作者复现了 immomo.com vivo.com.cn

3 条回复 • 2018-07-03 16:27:04 +08:00

qvvo

2018-07-03 14:17:18 +08:00

看了下，没看懂，信息安全门槛还是挺高的

oIMOo

2018-07-03 16:22:54 +08:00

@qvvo
背景: 付款成功验证基于某个有漏洞的 Java SDK, 攻击者可以仿造成功验证.
总结:官方升级简单, 适配需要时间.

vibbow

2018-07-03 16:27:04 +08:00

@oIMOo 针对这个 case 还有更简单的修复方法：直接把需要的 dtd 包含到代码里，而不是去网上拉取。