记一次校园墙小程序渗透测试

闲得慌。中午吃饭刷着校园墙，然后就有了这篇文章。

信息泄露

进入小程序，点击我的，进行抓包，抓到一个 GET 请求，有一个 userID 参数。

可通过修改 userID 得到其他人的信息

无限签到刷硬币

四处点点，都没啥用啊。看见有个签到功能，可以领取硬币，硬币可以换取物品

抓包，签到，重放，发现能无限签到。

尝试一下

刷点赞

有个活动，发帖，帖子点赞数最多的可以拿一等奖。能不能刷赞呢？结果是能

发个帖子测试一下。点赞、抓包，得到一个简单的包

很简单，用户 1505465 给 1505465 点赞，true 为点赞，false 为取消点赞。可以通过修改 userid 来给目标用户点赞。

原文始发于微信公众号（在下小白）：记一次校园墙小程序渗透测试