抓包一时爽，一直抓包一直爽!使用httpcatcher白嫖指尖时光vip会员……

Fujj · 发表于 2020-6-11 08:49

本帖最后由 Fujj 于 2020-6-11 14:41 编辑

这次的帖子主要参考了hhs之前发的贴子https://www.52pojie.cn/thread-1190581-1-1.html

但是在评论里看到很多小伙伴都失败了，所以我就好奇研究了下

相关教程已经录成视频上传到B站了：
https://www.bilibili.com/video/BV1wa4y1Y7Tj/

首先打开网球，然后启动指尖时光，进入我的页面，然后再返回网球，找到一个包含user的接口

我们来分析下接口返回的数据，通过分析发现：
这个"VIP": 0,是vip身份的一个标志，如果返回是1的话，前端默认展示成vip用户，0的话就是普通用户，我们要做的就是串改这个参数

[Python] 纯文本查看 复制代码

{
  "code": "10000",
  "msg": "成功",
  "data": {
    "ID": 162741,
    "Amount": "0.00",
    "InviteCode": null,
    "Integral": 0,
    "SNSPlatform": "WX",
    "OpenId": "onAxy5zdBfq_q_UPkPsvZ_cc1XHY",
    "UnionId": "o5YYFwFCyvwNPOOnX-Ygn8KytA0I",
    "WxOpenId": "onAxy5zdBfq_q_UPkPsvZ_cc1XHY",
    "DeviceToken": null,
    "Mobile": null,
    "AppleId": null,
    "Photo": "https://thirdwx.qlogo.cn/mmopen/vi_32/Q0j4TwGTfTLHWe3rsowk7YLTQ5gSyYria2W2HzqfBn8ibVvIkuCqTLplrX9q6IFPITuWVmibl75b2iacnPrLomcfmA/132",
    "Sex": 0,
    "VIP": 0,
    "MembersBeginDateMs": null,
    "MembersEndDateMs": null,
    "NickName": "富先生"
  }
}

接下来就是创建规则：按住那个接口左滑，选择新建重写

添加规则，使用正则匹配VIP": \d，替换成VIP": 1

保存刚编写的规则，然后启动网球，然后打开指尖时光，发现没有成功

这就是重点了，

我通过多次抓包，发现每次user的接口参数都不一样

https://integral.dasyibalang.com/User?ts=1591835436863&sign=e043eb99f9e79a07820ddc6783b0b40d&clientId=1392166974&v=1.7.0&
https://integral.dasyibalang.com/User?ts=1591780397720&sign=2f1c59551e0e86da6068a44e6b5e4015&clientId=1392166974&v=1.7.0&

导致每次执行规则的接口都会变，所以我们要改一个地方，就可以了

只要匹配根路径的接口就可以了

具体教程已经录成视频上传到B站了：
https://www.bilibili.com/video/BV1wa4y1Y7Tj/

阿隆 · 发表于 2020-6-11 09:16

一个字：6

Fujj · 发表于 2020-6-11 12:21

52013141314 发表于 2020-6-11 09:33
老哥，这是漏洞了吧，然后白嫖？？？

也不全是，这是改了返回参数，要每次都打开网球才可以执行。如果能修改请求的参数，渗入到对方服务器就厉害了

 · 发表于 2020-6-11 08:51

感谢分享，论坛有你更精彩！真诚的为你顶贴，让您的贴子不再下沉！

独念成慕 · 发表于 2020-6-11 08:52

神秘野猪王可还行
我也去试试

bigbirdl · 发表于 2020-6-11 08:56

好帖子。辛苦哈。

trieszhang · 发表于 2020-6-11 08:57

这个看的有意思。学习了

Fujj · 发表于 2020-6-11 09:03

独念成慕发表于 2020-6-11 08:52
神秘野猪王可还行
我也去试试

哈哈，以前室友给取的外号，没想到用着还挺顺手

XiaoBaizzZ · 发表于 2020-6-11 09:10

我也去试试

leo9921 · 发表于 2020-6-11 09:12

感谢分享，论坛有你更精彩！

ty0oo0 · 发表于 2020-6-11 09:14

厉害！！

帐号		自动登录	找回密码
密码			注册[Register]

[iOS 分享] 抓包一时爽，一直抓包一直爽!使用httpcatcher白嫖指尖时光vip会员……

免费评分