◆敖 毅

（南京政治学院军事信息管理系 上海 200433）

基于HTML5实现的微信公众号支付漏洞分析与研究

◆敖 毅

（南京政治学院军事信息管理系 上海 200433）

大量微信公众号系统选用HTML5作为技术实现方案。基于HTML5的微信公众号系统在实现微信支付功能时，如果支付流程设计或系统实现不合理，会造成篡改攻击漏洞或短路攻击漏洞，可以被恶意用户用于发起中间人攻击。本文模拟了利用两种漏洞进行中间人攻击的过程，分析了两种漏洞的形成原理，并提出了防范漏洞的解决方案。

HTML5；微信支付；篡改攻击漏洞；短路攻击漏洞

0 引言

腾讯公司的微信（WeChat）推出公众号、服务号以及微信支付功能后，越来越多的商家通过推出微信公众号，开办微商城，提供微服务等形式依托微信开展商业活动。由于HTML5具有跨平台、易实现、方便升级等优势，大量微信公众号系统选用HTML5技术作为技术实现方案。但是，在基于HTML5的微信公众号系统在实现微信支付功能时，如果流程设计或系统实现不合理，容易造成支付漏洞，引来恶意用户攻击。

日前，笔者就处理了一起针对微信公众号支付漏洞的恶意用户攻击事件，经估算，这次攻击共造成了约15万元人民币的经济损失。值得指出的是，本文提到的支付漏洞目前在大量微信公众号中仍然存在，需引起高度重视。

1 微信公众号微信支付的中间人攻击①模拟

经分析，这次攻击是恶意用户采用中间人攻击的方法，通过网络抓包的手段，利用某微信公众号的微信支付流程中存在的篡改攻击漏洞和短路攻击漏洞，伪造网络请求数据，最终实现了恶意消费。……