程序员经验分享-hwhale

微信小程序渗透测试

2023-11-09

一、工具准备

burpsuite、夜神模拟器(把微信装好)、node.js、wxappUnpacker

二、获取源码

1、配置Burp和模拟器（模拟器需导入ca证书），打开模拟器的WLAN–>高级设置–>输入物理机的ip以及一个没被占用的端口，Burp用于代理该端口，我使用的模拟器安卓版本为5.0。
在这里插入图片描述

（长按wifi为高级设置）
在这里插入图片描述

3、打开/data/data/com.tencent.mm/MicroMsg/目录，把该目录下所有文件删除，再打开微信，打开任意一个小程序。
在这里插入图片描述

4、再次打开/data/data/com.tencent.mm/MicroMsg/目录，会发现一个加密文件名的文件夹，再打开/appbrand/pkg/目录下存放着刚才访问这个小程序的三个数据，其中一个为主包其余两个为分包。
在这里插入图片描述
在这里插入图片描述

5、选中复制到与电脑的共享文件夹
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

6、获取源码后，使用wxappUnpacker进行反编译，分包需要使用-s参数。

在这里插入图片描述
在这里插入图片描述

三、渗透

1、使用微信开发者工具打开源码。
在这里插入图片描述
2、发现一个接口只需要openid即可访问，进行查看此接口功能
在这里插入图片描述
3、发现此处为用户报修，可获取大量用户openid。
在这里插入图片描述
在这里插入图片描述

4、使用获取到的openid在另一接口处可用户获取用户详细信息。
在这里插入图片描述在这里插入图片描述
5、利用获取到的studentID又可对学生的水卡进行绑定，绑定后可对学生的水卡进行充值、挂失等操作。
在这里插入图片描述

四、结束

到此本次渗透就基本结束，通过子域名爆破还发现了该程序的管理后台，但是莫得密码，也没发现其它漏洞，便没有继续进行了。

在这里插入图片描述
在这里插入图片描述

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

小程序

微信

微信小程序

微信小程序渗透测试 的相关文章

  • python项目实现配置统一管理的方法

    一个比较大的项目总是会涉及到很多的参数 最好的方法就是在一个地方统一管理这些参数 最近看了不少的python项目 总结了两种很有意思的配置管理方法 第一种 基于easydict实现的配置管理 首先需要安装numpy easydict以及ya

  • jmeter性能测试输出html报告

    前言 jmeter在界面模式下执行性能测试会占用大量的系统资源 导致测试数据不准确 为了减少系统资源的占用 我们建议在cmd 即非GUI模式 模式输入命令 进行性能测试 jmeter自带输出html测试报告功能 1 准备 写好脚本 2 在j

  • mysql—注入点获取WebShell的几种方式

    利用条件 1 有写文件条件 secure file priv show variables 要么禁用 要么设置了路径 show variables like secure 目录权限 对于MySQL来说 有可以对某个目录进行读写的权限 Sel

  • 【C++】【MATLAB】三元二次多项式拟合求极值点原理+代码

    一 需求描述 本人最近需要对多个3维数据进行曲线的拟合 并且找到极大值点 难点 1 一组数据有125个点 每个点有3个坐标值 x y z 以及一个对应的得分值t x y z范围不限 t的范围是0到1 2 得用C 语言去实现本人的需求 因此在

随机推荐

  • npm安装compression-webpack-plugin插件报错问题记录

    文章目录 问题再现 解决方案 总结 问题再现 因项目需要 在前端项目中安装compression webpack plugin插件 运行npm install compression webpack plugin命令之后在package j

  • 二分-最小值最大化问题

    二分 最小值最大化问题 大家好 鄙人第一次写CSDN博客 多多关照 大家共同进步 什么是最小值最大化问题问题呢 我们以一道经典例题为例 例题 POJ2456 链接 http poj org problem id 2456 题目描述 原文 D

  • MatrixDB 从4018个参赛项目中脱颖而出，获 HICOOL 全球创业大赛

    MatrixDB 又获奖了 聚焦全球创新创业趋势的 HICOOL 2021 全球创业大赛 历时145天的激烈角逐 遍布全球84个国家和地区 4018个参赛项目 5077名创业人才报名参加 作为今年最火热的国际化创业赛事 北京四维纵横数据技术

  • 华为OD机试 - 优秀学员统计（Java）

    题目描述 公司某部门软件教导团正在组织新员工每日打卡学习活动 他们开展这项学习活动已经一个月了 所以想统计下这个月优秀的打卡员工 每个员工会对应一个id 每天的打卡记录记录当天打卡员工的id集合 一共30天 请你实现代码帮助统计出打卡次数t

  • 分享java操作mongodb的crud代码

    代码中包括了mongodb的crud及其分页查询 排序功能 下载地址 分享java操作mongodb的crud代码 package com zuidaima mongodb test import java net UnknownHostE

  • python中str类型_python中str指的是什么类型

    python中str指的是什么类型 发布时间 2020 11 20 11 07 28 来源 亿速云 阅读 72 作者 小新 这篇文章将为大家详细讲解有关python中str指的是什么类型 小编觉得挺实用的 因此分享给大家做个参考 希望大家阅

  • VUE3中defineExpose的使用方法

    使用

  • [Raspi][SnowBoy][教程]树莓派SnowBoy搭建教程

    1 为什么使用SnowBoy 项目需要一个语音助手 但是小爱同学 天猫精灵这种方案可支持的唤醒方式太少了 经过一番查询找到snowboy 像上面提到的几款语音助手唤醒好像都是基于snowboy开发的 2 开始环境搭建 1 获取SnowBoy

  • eclipse JDT Plug-in Developer Guide

    文章目录 JDT Programmer s Guide JDT Programmer s Guide Eclipse平台是用一个全功能的Java集成开发环境 IDE 来传递的 Java开发工具 JDT 允许用户编写 编译 测试 调试和编辑用

  • Redis集合类型数据的统计模式

    Redis集合类型常见的四种统计模式 包括聚合统计 排序统计 二值状态统计和基数统计 聚合统计 所谓的聚合统计 就是指统计多个集合元素的聚合结果 包括 统计多个集合的共有元素 交集统计 把两个集合相比 统计其中一个集合独有的元素 差集统计

  • 【论文笔记】VLMO: Unified Vision-Language Pre-Training with Mixture-of-Modality-Experts

    1 介绍 1 1 视觉语言 VL 预训练的两种主流架构 1 dual encoder 分别对图像和文本进行编码 优点 检索任务 缺点 图像和文本之间的浅层交互不足以处理复杂的VL分类任务 2 单编码器 对模型图像 文本对进行跨模态关注的融合

  • 服务中找不mysql

    右键 计算机 点击 管理 然后点击 服务和应用程序 双击 服务 发现里面没有 MySql的服务 找到MySQL安装目录 我的是C Program Files MySQL MySQL Server 8 0 bin 打开cmd 进入MySQL的

  • java杨辉三角根据用户输入的行数n来显示杨辉三角的行数。

    import java util Scanner public class Main06 public static void main String args Scanner scanner new Scanner System in i

  • 高斯白噪声及Matlab常用实现方法

    http blog sina com cn s blog 4d7c97a00101cv5h html 一 概念 英文名称 white Gaussian noise WGN定义 均匀分布于给定频带上的高斯噪声 所谓高斯白噪声中的高斯是指概率分

  • 关于硬链接和软连接（符号链接）的区别

    linux系统下提供ln指令来进行文件链接 文件链接主要分为硬链接和软链接 硬链接 由于linux下的文件是通过索引节点 Inode 来识别文件 硬链接可以认为是一个指针 指向文件索引节点的指针 系统并不为它重新分配inode 每添加一个一

  • 计算机科学导论(5):计算机网络

    原文链接 计算机科学导论 5 计算机网络 远行的舟 参考 纪录片 互联网时代 计算机科学导论 TCP IP 入门经典 维基百科 阮一峰老师博客 哈尔滨工业大学阿里巴巴技术联盟互联网笔试面试整理 HTTP 权威指南 1776 年 3 月 瓦特

  • 几种负荷预测方法及其应用

    1 趋势分析法 趋势分析法称之趋势曲线分析 曲线拟合或曲线回归 它是迄今为止研究最多 也最为流行的定量预测方法 它是根据已知的历史资料来拟合一条曲线 使得这条曲线能反映负荷本身的增长趋势 然后按照这个增长趋势曲线 对要求的未来某一点估计出该

  • rust 学习笔记1

    RUST Rust 语言是一种高效 可靠的通用高级语言 其高效不仅限于开发效率 它的执行效率也是令人称赞的 是一种少有的兼顾开发效率和执行效率的语言 Rust的应用 Rust 语言可以用于开发 传统命令行程序 Rust 编译器可以直接生成目

  • MFC 单文档中添加OnPaint

    单文档中添加OnPaint 方法 1 在xxxView h里添加 生成的消息映射函数 protected DECLARE MESSAGE MAP public afx msg void OnPaint 2 实现OnPaint 3 在xxxV

  • 微信小程序渗透测试

    一 工具准备 burpsuite 夜神模拟器 把微信装好 node js wxappUnpacker 二 获取源码 1 配置Burp和模拟器 模拟器需导入ca证书 打开模拟器的WLAN gt 高级设置 gt 输入物理机的ip以及一个没被占用

热门标签