声明:该公众号大部分文章来自作者日常学习笔记,也有部分文章是经过作者授权和其他公众号白名单转载,未经授权,严禁转载,如需转载,联系开白。请勿利用文章内的相关技术从事非法测试,如因此产生的一切不良后果与...
一次对小程序的安全测试
前言 自2019年开始,中央网信办、工业和信息化部、公安部和国家市场监管总局在全国范围内组织开展App违法违规收集使用个人信息专项治理工作,加大个人信息保护力度。《个人信息保护法》增加了对于App个人...
针对不同测试场景下的三套抓包配置
对于不同的测试场景,如Web、小程序、App等,我们往往会使用不同的抓包方案来完成我们测试,以下便是笔者本人在不同场景下使用的三套抓包方案。WebWeb场景也是我们平常最多的抓包场景,而我们利用Bur...
微信小程序逆向分析
WeChatAppEx.exe 版本:2.0.6609.4 以融智云考学生端为例。 网上已经有关于微信小程序解密的非常优秀的文章,本着学习的目的便不参考相关内容。 笔者水平实在有限,如发现纰漏,还请读...
【工具】维语、蒙语、藏语和汉语互相翻译的小程序
之前给大家推荐的腾讯民汉翻译小程序不能使用了,经常还有朋友在后台咨询何时能使用,其实微信里支持维语、藏语、蒙语等民族语言和汉语互相翻译的小程序有很多。只需要在小程序中搜索“维汉翻译”“蒙汉翻译”或者“...
记一次某大学小程序逻辑漏洞
0x01 前言 微信小程序/公众号默认是直接使用自己微信登陆的,我们对小程序的漏洞挖掘,关注点还是在逻辑漏洞上面,下面将从环境搭建到实例一步步讲解。 0x02 环境配置 工具:Burp+Fiddler...
小程序绕过sign签名思路
测试小程序的逻辑漏洞经常会遇到sign签名标识,若不知道sign的生成方式,只篡改参数的值无法修改sign的值,那么漏洞测试就很难进行下一步。本篇分享将围绕如何绕过小程序sign标识展开 漏洞前言: ...
技术分享|微信小程序绕过sign签名思路
测试小程序的逻辑漏洞经常会遇到sign签名标识,若不知道sign的生成方式,只篡改参数的值无法修改sign的值,那么漏洞测试就很难进行下一步。本篇分享将围绕如何绕过小程序sign标识展开漏洞前言:测试...
公益src实战经验分享
声明本公众号文章来自我的学习笔记,可以转载,须标明原出处。请不要利用文章内的相关知识点进行非法渗透,仅做学习使用,产生的一切后果与文章作者和本公众号无关。缘起 应该是2月底吧,报名了某个src挖掘培训...
G.O.S.S.I.P 阅读推荐 2023-06-21 微信小程序安全分析之APIDIFF
端午节来临之际,我们携“G.O.S.S.I.P和朋友”系列来祝大家端午快乐~ 今天要介绍的仍然是来自俄亥俄州立大学 SecLab 的研究成果,第一作者王超在5月刚刚发表了ICSE论文【详见 G.O.S...
微信小程序(PC版)如何抓包
01 抓包环境配置 本文抓包环境 Win10,微信(PC版本) v3.9.2.20,Burp Suite v1.7.32,Proxifier v3.42 【不使用安卓模拟器】 一、下载安装好Burp ...
小程序解包渗透测试
工具介绍:Winhex和Notepad++小程序首先登陆微信PC端,打开小程序,此时电脑里面会缓存这个小程序的包之后打开软件Winhex,把这个包拖到软件里面。如图中所示,我们需要用到这个软件自带的计...
31