记一次微信小游戏渗透测试(文末福利)

admin 2024年10月13日01:38:10评论8 views字数 742阅读2分28秒阅读模式

准备工作

因为目标站点只能用微信打开,微信又不能调试看代码。这里推荐可以使用pc端旧版微信3.2.1,具体方法放链接里:

https://blog.csdn.net/qq_45863248/article/details/127688137

记一次微信小游戏渗透测试(文末福利)

需要注意的是,如果作者方法未生效,可以把pak文件放微信安装目录再重启试试。

看到Show DevTools就说明成功啦!

记一次微信小游戏渗透测试(文末福利)

开始测试

首先看到微信小游戏先游戏流程先走一遍抓个包。在手机微信上点击开始游戏:

记一次微信小游戏渗透测试(文末福利)

把上面的图形对应滑到下面的棒冰上制作成功棒冰+1

记一次微信小游戏渗透测试(文末福利)

每制作一根棒冰发送一个包(我这里制作了两个):

记一次微信小游戏渗透测试(文末福利)

记一次微信小游戏渗透测试(文末福利)

页面倒计时结束后,变量boxNum统计制作了多少根棒冰,然后发送

记一次微信小游戏渗透测试(文末福利)

这里我们看到boxNum参数是加密了的,有理由怀疑最终制作个数就是由boxNum来控制的

打开pc端旧版微信调试工具,全局搜索,发现并未找到这个变量记一次微信小游戏渗透测试(文末福利)

懵了,我还以为出了什么问题,反复找了半天,发现也并没有游戏相关的js。在旧版pc端微信点开始游戏抓包,终于是发现了game.js,全局搜索boxNum,居然在这里。与之前不同的是,它不会一次性加载显示所有js,游戏开始后才加载的。

记一次微信小游戏渗透测试(文末福利)

分析加密逻辑,直接找f函数,搜索function f:

记一次微信小游戏渗透测试(文末福利)

发现是AES加密,自定义了icon1,icon2两个未知变量,需要加密就必须知道这两个变量,同样,在这个game.js和之前的js里均未搜到这两个变量。于是游戏里继续抓包,发现rem.js,看到icon1、icon2均是固定的。

记一次微信小游戏渗透测试(文末福利)

这下好办了,直接本地环境搭起来,先试试开头的我制作的棒冰数量2加密与数据包对比一下。

记一次微信小游戏渗透测试(文末福利)

记一次微信小游戏渗透测试(文末福利)

完全一样!测试结束。

本文作者:ad蒙ins, 转载请注明来自FreeBuf.COM

记一次微信小游戏渗透测试(文末福利)

原文始发于微信公众号(网络安全者):记一次微信小游戏渗透测试(文末福利)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年10月13日01:38:10
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   记一次微信小游戏渗透测试(文末福利)https://cn-sec.com/archives/1909689.html

发表评论

匿名网友 填写信息