记一次微信小游戏渗透测试
本文转载于:https://www.freebuf.com/vuls/371936.html
准备工作
因为目标站点只能用微信打开,微信又不能调试看代码。这里推荐可以使用pc端旧版微信3.2.1,具体方法放链接里:
需要注意的是,如果作者方法未生效,可以把pak文件放微信安装目录再重启试试。
看到Show DevTools就说明成功啦!
开始测试
首先看到微信小游戏先游戏流程先走一遍抓个包。在手机微信上点击开始游戏:
把上面的图形对应滑到下面的棒冰上制作成功棒冰 1
每制作一根棒冰发送一个包(我这里制作了两个):
页面倒计时结束后,变量boxNum统计制作了多少根棒冰,然后发送
这里我们看到boxNum参数是加密了的,有理由怀疑最终制作个数就是由boxNum来控制的
打开pc端旧版微信调试工具,全局搜索,发现并未找到这个变量
懵了,我还以为出了什么问题,反复找了半天,发现也并没有游戏相关的js。在旧版pc端微信点开始游戏抓包,终于是发现了game.js,全局搜索boxNum,居然在这里。与之前不同的是,它不会一次性加载显示所有js,游戏开始后才加载的。
分析加密逻辑,直接找f函数,搜索function f:
发现是AES加密,自定义了icon1,icon2两个未知变量,需要加密就必须知道这两个变量,同样,在这个game.js和之前的js里均未搜到这两个变量。于是游戏里继续抓包,发现rem.js,看到icon1、icon2均是固定的。
这下好办了,直接本地环境搭起来,先试试开头的我制作的棒冰数量2加密与数据包对比一下。
完全一样!测试结束。
这篇好文章是转载于:学新通技术网
- 版权申明: 本站部分内容来自互联网,仅供学习及演示用,请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系,请提供相关证据及您的身份证明,我们将在收到邮件后48小时内删除。
- 本站站名: 学新通技术网
- 本文地址: /boutique/detail/tanhiaagbf
系列文章
更多
同类精品
更多
-
photoshop保存的图片太大微信发不了怎么办
PHP中文网 06-15 -
word里面弄一个表格后上面的标题会跑到下面怎么办
PHP中文网 06-20 -
photoshop扩展功能面板显示灰色怎么办
PHP中文网 06-14 -
《学习通》视频自动暂停处理方法
HelloWorld317 07-05 -
TikTok加速器哪个好免费的TK加速器推荐
TK小达人 10-01 -
Android 11 保存文件到外部存储,并分享文件
Luke 10-12 -
微信公众号没有声音提示怎么办
PHP中文网 03-31 -
excel下划线不显示怎么办
PHP中文网 06-23 -
微信运动停用后别人还能看到步数吗
PHP中文网 07-22 -
excel打印预览压线压字怎么办
PHP中文网 06-22