记一次微信小程序安全测试

好久没写文章，今天来水一篇 ，一天客户准备上线一个新的小程序，需要在上线前测试一下新业务的安全性，安服仔上线滴滴；保密需要已经打码，漏洞也已经修复了。

工具推荐

• https://github.com/eeeeeeeeee-code/e0e1-wx 微信小程序自动反编译

逻辑漏洞

在小程序登录页面中，在输入账户密码登录时，看返回响应包参数 code =1

{"code":"1"}
{"code":"0"}

使用拦包功能修改返回响应的code 将 1 修改为 0，就成功登录小程序页面了

任意文件上传漏洞

使用e0e1-wx 工具 将微信小程序反编译为源码，分析小程序代码接口

其中 UptoImg接口的参数，有可能是文件上传功能的，访问看看，直接报错了，开发不严谨啊，将代码都展示出来

move_upload_file() 函数 可以看出该代码是文件上传的，我们直接构造上传包就可以了

直接上传个phpinfo()

有成果了本次安全测试完成，安服仔该写报告下班了

总结

• 本次测试没有高深的技术，都是常规的操作，总的来说就是开发不按规范写代码