某接口未授权漏洞检测小工具

【本文仅为学习和交流，切勿用作非法攻击 ，参与非法攻击与笔者无关 ！！！】

某XX行动之后，又回归到繁忙的安服崽生活，感谢这一波漏洞，让我这即将失业的安服崽又可以平稳的度过年底，其中某个漏洞刚好在之前的渗透中遇到过，不过是JS文件泄露了信息，故想着开发一款小工具方便使用，大佬勿喷，下载地址在末尾。

通过访问未授权接口地址可直接泄露ID、Secret等信息，进而进一步利用

/cgi-bin/gateway/agentinfo

工具为C#开发，可进行未授权访问漏洞检测，同时也可对泄露的ID、Secret进一步利用

当通过未授权接口或者JS泄露的ID、Secret，可进一步获取Token，从而进一步获取敏感信息（需要手动填写ID、Secret信息）

生成Token之后，会将返回的AccessToken的值自动填充到AccessToken文本框

通过AccessToken可获取部门列表等信息（ps: 获取的Token不一定完全可以获取部门列表信息）

通过AccessToken可获取成员ID等信息（ps: 获取的Token不一定完全可以获取用户ID信息）

清空内容

下载地址，如果有帮助的话，麻烦师傅可以点个小星星了

https://github.com/ddwGeGe/WxAgentinfoCheck

至少需要.Net4.0，不然会出现下面的情况了

已知Bug：目标大部分为https，可能在SSL/TLS处理上存在一些小问题注意：URL地址末尾一定要带/ 如http(s)://xx.xx.xx.xx/ps: 工具无后门，未进行加密等操作，可自行反编译查看    不放心的话，可在虚拟机打开使用

原文始发于微信公众号（弱口令验证机器人）：某接口未授权漏洞检测小工具