好友 阅读权限 25
听众 最后登录 1970-1-1
前前言 首先是先说明一下，本篇文章是基于的 @案首梦 [微信消灭病毒sign算法分析 ] 前提作为基础思路进行的搞事情，由于相关原理 文字解释 破解 思路。前言 最近得到了几张某达实体票，去看妇联的时候居然要使用四张兑换券才能换两张电影票！不得不感叹漫威粉们的狂热！ 好了，扯远了~当时实体票是去到电影院兑换的座位，看了票背面其实是支持在线兑换座位， 票上有两个大二维码，分别是下载APP和关注公众号，于是下载APP准备兑换剩下的券，然后进入钱包兑换券，当 看到券码上的纯数字的卡号和密码，心中一记，看看能不能走撞裤，服务器挂个脚本自动去撞，免费的电影票唾手可得啊~理想很美好，那么就来试试
一、初步抓包 测试手机为小米9，抓包软件各种各样，本机APP可以优先选择Packet Capture和HttpCanary，两种软件傻瓜式操作，如果要抓https都需要装个CA证书，推荐使用 HttpCanary可扩展性高且样式较多
在 HttpCanary 选 择 指定APP
再打开APP开始抓包，可以看到我们抓到两个包
首先是第一个请求
然后是第二个请求 大概可以猜测主请求为第二个，首先访问形式是get，参数都是放在header上面，由于水表问题打了一些码，可知主要参数为MX-API，格式如下（敏感数据以***显示）： {"ver":"6.5.1", "cCode":"1_2", "sCode":"Wanda", "appId":2, "_mi_":" *** ","width":1280,"json":true,"check":" *** "," Accept-Encoding":"gzip, deflate", "ts": 1550668891000 ,"heigth":720} 其中_mi_为固定长度字符串，猜测是身份id，check为加密串，ts为13位的unix时间戳，测试在同个码的情况下，ts和check码为动态变动，可知check是包含ts值的32位小写MD5，当然，由于动态，也意味着...
二、再接再厉
https://github.com/MegatronKing/HttpCanary
*** ","width":1280,"json":true,"cCode":"XIAOCHENGXUGP","check":"*** ","ts":1550668891000 ,"heigth":720,"appId":3}三、微信小程序源码获取 获取办法：在已经ROOT的手机上使用RE文件管理器查看微信源码目录，并复制导出到电脑中。 微信小程序源文件保存在/data/data/com.tencent.mm/MicroMsg/.../appbrand/pkg/这个目录下，中间的“...”是一串32位的16进制字符串名文件夹。 如果有很多不确定是哪个的情况下，我的解决办法是删掉所有这样的目录，在微信中删掉小程序重新添加，就可以看到新创建的目录。找到指定目录并拷贝至电脑上，我们就获得了微信小程序的源代码，在我的手机上有两个wxapkg文件，不清楚是哪个，先都拷贝出来。
下一步是反编译源文件，用大佬写的 wxappUnpacker，Github地址：https://github.com/qwerty472123/wxappUnpacker 我们首先安装nodejs环境：https://nodejs.org/en/ 运行
进入刚下载的 wxappUnpacker 文件夹内，安装一下依赖： npm install esprima npm install css-tree npm install cssbeautify npm install vm2 npm install uglify-es npm install js-beautify npm install escodegen 最后使用这个命令进行反编译源文件：node wuWxapkg.js [-d] <files...> //files 就是你想要反编译的文件名 例如：我有一个需要反编译的文件 _12345678_123.wxapkg 已经解压到了D盘根目录下,那么就输出命令 node .\wuWxapkg.js D:\ _12345678_123 .wxapkg
这样我们就得到了某达小程序源码，对于微信小程序这种，我们可以简单理解为HTML+CSS+JS，只不过JS是微信JS而已。 所以在这个场景下，我们的思路就是找到小程序源码，看看JS里面有没有什么能利用的东西，对网络传输进行抓包，试试有没有漏洞。 四、校验算法回顾 为了保证数据在通信时的安全性，可以采用参数签名的方式来进行相关验证。这种方式的基本原理就是将传递的数据加一些参数做MD5，并跟随数据包一起进行传递，在服务器端进行再次验证，将计算得到的MD5与收到的MD5进行比对，如果不同，则说明数据包被篡改过。 这个过程就是为了防止数据包在传递过程中遭到篡改的一种校验算法。 sign签名的方式能够在一定程度上防止信息被篡改和伪造，但是对于微信小程序来说，逻辑都写在 JS 中，而 JS 源码是能够逆出来的，我们能够通过查看源代码得知程序逻辑，再更改数据包之后，我们自行组织逻辑，算出MD5，一同发送至服务器，就可以绕过校验。 五、分析小程序源码
首先我们先找check字符串，在四个文件都有，其中 app-service.js最大，估计是程序主体，那么从这个开始
可能是为了压缩体积，部分代码直接连成一坨了，可以在 http://www.bejson.com/ 重新格式化编码
经过初步查找找到我们的熟悉的代码块，但是 app-service.js发现好几处这个代码块，同时 vendor.js、 MxApiHelper.js都有类似代码块 app-service.js通过格式化校验已经近4w行，还没算这个js含有多个相同的代码块和其他js中相同的代码块，所以，我们决定弯道超车，通过微信开发小程序直接进行代码调试 六、弯道超车
WandaXIAOCHENGXUGP4906B2*** 1550668891000/user/apply_verify_img_code.apiphone=0&json=true
/user/third_mobile_code.apithirdType=5&openId=undefined&mobile=0&json=true
七、最后挑战
GET /card/bind.api?card_no= ***&password= ***&json=true HTTP/1.1 {"ver":"6.4.0","sCode":"Wanda","_mi_":" ***","width":1280,"json":true,"cCode":"XIAOCHENGXUGP","check":" ***","ts": 1550668891000,"heigth":720,"appId":3}
var a = { card_no: b password: c };
最后实在没辙，在线请教大神，大神丢过来 card_no上面两行的一串字n = t.default.clientKey.substr(0, 16);
也就是这行，大神解释说密码是n，n是这个变量的0-16位， clientKey？好像有点眼熟？
最后的最后
PS：Discuz!的图片处理真心不好搞~~~ ============================================华丽的文章结束线======================================================
查看全部评分
发帖前要善用【论坛搜索 】 功能，那里可能会有你要找的答案或者已经有人发布过相同内容了，请勿重复发帖。
[复制链接]
发表于 2019-5-27 15:18
|
发表于 2019-6-28 12:28
发表于 2019-5-27 16:05
