从接口管理到微信小程序接管

admin 2025年4月23日11:11:20评论1 views字数 453阅读1分30秒阅读模式
声明:请勿利用文章内的相关技术从事非法测试,如因此产生的一切不良后果与文章作者和本公众号无关。
前段时间拿到一个授权站点,闲来无事就看了看,一个IP资产,443端口开放,访问发现是一个登陆系统。
从接口管理到微信小程序接管
试了试暴力破解,似乎无解,好家伙,第一次祖传字典失利,看看接口,发现似乎JS中没有泄露啥API接口。
从接口管理到微信小程序接管
这不是完犊子了嘛,看来不得不上祖传漏洞账号密码明文传输啦。哈哈,玩笑玩笑,继续干继续干,看了看框架,似乎也没有啥有漏洞的框架可以利用。只能先用dirsearch跑一跑目录,看看有没有啥收获。
好家伙,还是有点收获的,似乎有个swagger接口管理,这API不就来了嘛。
从接口管理到微信小程序接管
直接把之前想干没有干成的赶紧来一遍,跑一波未授权操作,黄天不负有心人,还是有一个不错的接口没有做权限校验,似乎是微信小程序的accesstoken
从接口管理到微信小程序接管
好家伙,直接拿获取到的accesstoken去微信小程序里面使用,如下,看起来有效,成功接管。
从接口管理到微信小程序接管
从接口管理到微信小程序接管
还是老规矩,点到为止,赶紧写完报告赶紧给朋友。

原文始发于微信公众号(安全无界):从接口管理到微信小程序接管

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年4月23日11:11:20
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   从接口管理到微信小程序接管https://cn-sec.com/archives/3988932.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息