opencart微信支付漏洞修复

收到微信一条通知,并结合现在网上流传的不用支付就能购买商品的留言??蠢次⑿诺娜肥怯姓飧雎┒?,看了文档后来修 微信支付接口安全提醒通知 尊敬的微信支付商户: 您的系统在接受微信支付...

收到微信一条通知,并结合现在网上流传的不用支付就能购买商品的留言??蠢次⑿诺娜肥怯姓飧雎┒?,看了文档后修复opencart的支付漏洞,于是写了这篇文章

微信支付接口安全提醒通知

尊敬的微信支付商户:

您的系统在接受微信支付XML格式的商户回调通知(支付成功通知、退款成功通知、委托代扣签约/解约/扣款通知、车主解约通知)时,如未正确地进行安全设置或编码,将会引入有较大安全隐患的XML外部实体注入漏洞(XML External Entity Injection,简称 XXE)。

请贵司研发人员务必参考微信支付安全实践指引:https://pay.weixin.qq.com/wiki/doc/api/jsapi.php?chapter=23_5 ,进行安全隐患确认和排除。

微信支付团队

2018年7月4号


修改位置一? /vendor/zoujingli/wechat-php-sdk/Wechat/WechatPay.php

public function getNotify() 方法里面?$notifyInfo = (array)simplexml_load_string(file_get_contents("php://input"), 'SimpleXMLElement', LIBXML_NOCDATA);上一行和下一行分别添加两行代码即可

$bPreviousValue = libxml_disable_entity_loader(true);//新增
$notifyInfo = (array)simplexml_load_string(file_get_contents("php://input"), 'SimpleXMLElement', LIBXML_NOCDATA);
libxml_disable_entity_loader($bPreviousValue);//新增


修改位置二? /vendor/zoujingli/wechat-php-sdk/Wechat/Lib/Tools.php

static public function xml2arr($xml) 方法修改为

$bPreviousValue = libxml_disable_entity_loader(true);
$return = json_decode(Tools::json_encode(simplexml_load_string($xml, 'SimpleXMLElement', LIBXML_NOCDATA)), true);
libxml_disable_entity_loader($bPreviousValue);
return $return;


注意:此次修改适用于opencart原版,和opencart.cn版本,因为他们使用的是composer。而mycncart使用的是微信sdk,那么就需要把微信的sdk更新为最新版本的即可

  • 发表于 2018-07-05 12:16
  • 阅读 ( 243 )
  • 分类:其他

0 条评论

请先 登录 后评论
不写代码的码农
admin

青海快三走势图 www.kbjgz.cn 3 篇文章

作家榜 ?

  1. 米哑 16 文章
  2. admin 3 文章
  3. test 0 文章
  4. leenin 0 文章
  5. zhongwei 0 文章
  6. jacky 0 文章
  7. heinu75 0 文章
  8. wytoy 0 文章
  • 【学习时刻学思践悟十九大⑤】中央党校郑琦:八项规定仍是全面从严治党重要一环 2018-11-26
  • 厦门出现不打烊的便民服务站 2018-08-23
  • 多学些党报的历史知识 2018-07-26
  • 海外舆论关注中国最新军备 称赞习近平主席强军号令 2018-07-25
  • 紫光阁中共中央国家机关工作委员会 2018-07-25
  • 中兴展台图赏:可折叠手机AXON M吸睛丨CES2018 2018-07-25
  • 钟 稳:政治巡视是实现自我净化的有效路径br span style=font-family 宋体,SimSun; font-size 14px; ——学习习近平巡视工作思想的几点体会 span 2018-07-24
  • 家谱是另一种意义上的“身份证” 看看古人如何修谱 2018-07-24
  • 两个和尚94期:影视作品中的佛教 有哪些常识性错误? 2018-07-24
  • 习近平:在同各界优秀青年代表座谈时的讲话 2018-07-24
  • 江西景德镇昌江消防119系列活动精彩纷呈 2018-07-23
  • 通州温榆河畔 商务园企业独栋 ——凤凰网房产北京 2018-07-23
  • 最值得年轻人关注的SUV 实力全面曝光 2018-07-23
  • 引汉济渭攻坚克难打造世纪工程 2018-07-22
  • 那奔腾不息的母爱幸福暖流,总有一天你会懂 2018-07-22
  • 432| 591| 936| 42| 781| 405| 991| 772| 567| 606|