实战攻防|某小程序加密绕过漏洞挖掘复盘

论刺激，还得是实战！在对某单位进行渗透测试的过程中，在资产收集过程中发现了一个小程序，随后对该小程序进行渗透测试最终拿下了个大的。老规矩，全文已重码，可放心食用！

打开小程序

输入手机号发送验证码，使用burp抓取数据包。发现数据包是加密状态，所有加密后的数据包url都是/hr/ghww/api

注册进入小程序后找到另外一个发送验证码的功能，可以使用网页打开

使用多个手机号进行测试，发现没有次数限制，存在横向短信轰炸漏洞，同时响应包也可进行解密

查看该小程序其它功能时，找到一个就诊人的功能点

点击就诊人后，拦截数据包

把加密的数据包和响应包进行解密，返回包可查看身份证号

发送数据包

复制响应包，进行解密，查看是否成功

可以看到已经可以查询他人身份证号。这意味着什么，打过实战的人懂的都懂。

本次的两个漏洞均属于业务逻辑漏洞，一旦被攻击者利用，允许攻击者获取未授权的高权限访问，从而导致数据泄露、系统控制、服务中断和声誉损失等严重后果。