本文摘要：微信提醒商家排查漏洞，“不用过度混乱”，并公布安全性问题提示与检查修缮建议。

微信提醒商家排查漏洞，“不用过度混乱”，并公布安全性问题提示与检查修缮建议。近日，关于微信缴纳不存在安全漏洞的消息，引起商户们的注目辩论，甚至混乱。7月3日，有用户在安全性社区发布了微信缴纳官方SDK(软件工具开发包)不存在的漏洞，此漏洞可造成商家服务器被侵略，一旦攻击者取得商家的关键安全性密钥，攻击者可以盗取商家服务器的任何信息，通过发送到假造信息来愚弄商家，需要给商家缴付才可白拿任何东西，也就是所谓的“0元购得”。

漏洞消息曝出后，7月5日，微信缴纳官方对外回应漏洞已修缮，商家不用过度混乱。至今，该安全漏洞被曝光已20天，有安全性技术人员做到了测试展示后找到，大量商户仍然曝露在漏洞下。由于该漏洞牵涉到安全性技术问题十分专业，商户不告诉明确如何操作者，及时改版修缮漏洞、回避风险，因此产生顾虑，甚至混乱。对于商户的顾虑和担忧，微信方面昨日恢复记者，称之为“该漏洞为少见漏洞，此次问题服务器实际影响范围并不大，几乎高效率”，微信针对漏洞问题早已公布了《关于XML解析不存在的安全性问题提示》，并获取了《检查及修缮建议》。

然而，在一些辩论此事的网络社区和社群中，根据安全性技术人员的提醒，笔者从代码托管地平台上搜寻找到大量商户漏洞仍然不存在，不少商户的漏洞未获得修缮和掌控。-1-安全漏洞：遭到反击可不缴付白拿，甚至外泄商户的消费者信息上述安全漏洞问题，到底是怎么一其实呢？安全性技术专家、斗象科技牵头创始人谢忱说明，从当前被公开发表的漏洞信息来看，网络攻击者可利用了微信缴纳官方SDK(软件工具开发包)不存在的漏洞，将自己伪装成“微信缴纳平台”，继而通过微信的漏洞构建假造与商户的必要通信，在伪造微信的长时间通信信息后超过“偷梁换柱”的目的。

谢忱讲解，长时间的缴纳流程应当是由用户发动，经由微信缴纳平台抵达商家，商家不会有一个与微信缴纳平台证实缴纳结果的过程，而网络攻击者才是是利用了涉及漏洞“被骗”过了商户。一些商家的安全性防水水平较低，攻击者提供该商户的密钥，再行通过这个漏洞就可以构建“0元购得”等操作者，严重者还可能会造成商户的消费者信息等数据内容外泄。

对于安全漏洞问题，微信方面恢复记者说道，本次漏洞本质为商户自身服务器后台系统中不存在XML外部实体流经漏洞(全称XXE)，微信缴纳技术安全性团队第一时间注目及排查，并无意官方网站上受影响的服务器端SDK漏洞展开改版，修缮了未知的安全漏洞，并已警告商户及时改版。微信方面回应，“该漏洞为少见漏洞，只要在程序接管到XML数据展开解析之前，调用涉及的函数重开XML语言的上述特性才可有效地防止和解决问题。目前早已启动商户的安全性提醒，提醒商户主动排查其自辟系统否不存在该漏洞，并得出修缮提示，展开帮助。

”-2-安全漏洞已修缮？测算大量商户仍曝露在漏洞下微信回应修缮了未知的安全漏洞，商家不用过度混乱。然而，在一些网络社区和社群中，针对此漏洞的辩论和顾虑仍在蔓延到。笔者根据网络社区和社群中参予辩论的安全性技术人员的提醒，在代码托管地平台Github、码云上，搜索漏洞函数以及notify关键字等，很更容易就能寻找不存在漏洞的商家。

安全性技术人员讲解，如代码中经常出现“notify_url=http://xxx”，经常出现这个以后不必看代码逻辑，可展开黑盒批量测试展开捡漏；找到notify模块函数调用了微信sdk不存在漏洞版本的WXPayUtil.xmlToMap函数，或者商户自己构建xml解析函数但并未停止使用外部实体，这样的商户仍然不存在漏洞。经搜寻和对比，找到了大量的商家漏洞依然不存在。-3-商户如何回避风险？微信公布安全性问题提示及修缮建议由于微信缴纳终端的商家数量超过上百万，用于微信缴纳杨家版本的商户大自然不在少数。

虽然微信官方改版了系统，不过，记者告知一些零售商户了解到，由于商户平台并非必须每天指定，目前还有不少商户并不知悉有此改版，甚至有些构建商户由于集成商没通报，造成他们至今不告诉该如何是好。这些安全性技术问题对小微商户来讲，广泛有一定可玩性，他们不确切明确该如何操作者才能回避漏洞和风险。这也是目前商户不存在混乱情绪的原因。

回应，微信方面向记者回应，微信目前早已启动商户的安全性提醒，提醒商户主动排查其自辟系统否不存在该漏洞，并得出修缮提示展开帮助，“正在减缓客服与商户的交流，主要是引领回避漏洞”。此外，微信缴纳不会帮助商户找到和回避安全性问题，联合提高移动支付整体安全性，并已公布了《关于XML解析不存在的安全性问题提示》(可以页面转入微信缴纳商户平台查阅：https://pay.weixin.qq.com/wiki/doc/api/jsapi.php?chapter=23_5《安全性问题提示》向商户特别强调，“如果你在用于缴纳业务消息传递通报中，不存在以下场景有用于XML解析的情况，请求切勿检查否对展开了防止。

本文来源：c7平台官网-www.unclemaks.com