微信支付被曝縫隙。移動(dòng)支付時(shí)代初期，遍及的最大阻撓就是人們對(duì)其安全性的置疑。跟著時(shí)間的推移和運(yùn)用規(guī)模的擴(kuò)展，咱們初步認(rèn)為，手機(jī)支付比每天帶現(xiàn)金上街愈加安全?？墒?，近期微信支付爆出的縫隙，又喚起了人們最原始的憂慮。
昨日，ID為Rose Jackcode的用戶在國(guó)外安全社區(qū)上http://SECLISTS.ORG曝出，微信支付存在巨大縫隙。微信在JAVA版其他SDK中供給callback回調(diào)功能，用來(lái)幫忙商家接收異步付款效果，該接口承受XML格式的數(shù)據(jù)，侵犯者可以結(jié)構(gòu)歹意的回調(diào)數(shù)據(jù)(XML格式)來(lái)盜取商家服務(wù)器上的任何信息。一旦侵犯者獲得了要害支付的安全密鑰，將可以直接完結(jié)0元支付購(gòu)買(mǎi)任何產(chǎn)品。
到現(xiàn)在，微信既未發(fā)布相關(guān)安全布告，也沒(méi)有更新微信支付SDK版別。換句話說(shuō)，全部運(yùn)用微信支付官方SDK的商戶，并且言語(yǔ)是JAVA的，都還處于被侵犯的危險(xiǎn)之中。
騰訊方面則標(biāo)明，“微信支付技術(shù)安全團(tuán)隊(duì)已榜首時(shí)間重視及排查，并于正午對(duì)官方網(wǎng)站上該SDK縫隙進(jìn)行更新，批改了已知的安全縫隙，并在此提示商戶及時(shí)更新。請(qǐng)?jiān)蹅兌ㄐ倪\(yùn)用微信支付?！?
有意思的是，白帽匯安全研究院發(fā)現(xiàn)，該用戶的陳說(shuō)中運(yùn)用的頓號(hào)皆為中文全角符號(hào)，這說(shuō)明，爆料人很有可能是中國(guó)人。眾所周知，大多數(shù)公司關(guān)于提交安全縫隙的人員都有獎(jiǎng)賞。業(yè)界又觀念認(rèn)為，爆料人之所以沒(méi)有和微信交流，而是上外國(guó)論壇爆料，很可能是因?yàn)樗昧诉@個(gè)縫隙卻抹不掉痕跡，期望吸引黑客潮掩蓋自己。
