• 标记生成出错,请与管理员联系! 2019-05-17
  • 这个问题,不是我们那些学者所讲的,国家崛起美国害怕了。而是美国舞着大棒,配合国内的资本共同讹诈。 2019-05-17
  • 香河县纪委监委严把信访举报交办督办回复“三关” 让信访举报件件有着落 2019-05-16
  • 向雷锋同志学习 厉害了!体彩志愿服务团队 2019-05-14
  • 美国20岁说唱歌手在迈阿密中枪疑似身亡 2019-05-14
  • 第37届香港电影金像奖颁奖典礼举行 2019-05-04
  • 这是一个错误的观点!这个错误的观点在自以为懂得马克思主义的人群中非常普遍!所以,这也就是中国为什么真正懂马克思主义的人不多的主要原因! 2019-05-02
  • 经济专家那么多,谁写出如何搞好公有制呢? 2019-05-02
  • 海军首次举行水雷战竞赛性考核 2019-05-02
  • 公共图书馆如何更有效地服务读者 2019-05-02
  • 男子模仿网红骑马上路 机动车道飞奔当街摔晕 2019-04-30
  • 小长假前两天,广州哪些文化场馆最火爆? 2019-04-30
  • 高清图集:习近平在山东考察 2019-04-28
  • 2000多家国企医院年底前完成剥离 2019-04-25
  • 天津旅游嘉年华下周开幕 多项活动展现文旅融合--旅游频道 2019-04-15
  • 用户
     找回密码
     立即注册

    QQ登录

    只需一步,快速开始

    扫一扫,登录网站

    小程序社区 首页 资讯/观点 查看内容

    河北十一迭五一定牛:某行小程序投标测试的思路和坑

    河北体彩11选5今天开奖 www.7vek.com Rolan 2018-11-21 00:32

    *本文作者:一只耗子,本文属于FreeBuf原创奖励计划,未经许可禁止转载。先发下牢骚吧,最近看FB里面的文章,大体上往底层概念越来越多,各种挖矿木马的,还有各种难理解的概念,都没有勇气点开看看了。有关Web层次 ...

    *本文作者:一只耗子,本文属于FreeBuf原创奖励计划,未经许可禁止转载。 

    先发下牢骚吧,最近看FB里面的文章,大体上往底层概念越来越多,各种挖矿木马的,还有各种难理解的概念,都没有勇气点开看看了。 

    有关Web层次有价值的文献越来越少了,这点最近在打CTF时候也体现出来了,得PWN者得天下…..Web题有点难度的基本就是大杂烩(把所有和Web相关的整合到一起出一道题)

    也可能是现在可利益化的圈子比较多,各种小密圈收费即分享的机制(我感觉这种机制也挺挺好,技术无价。)

    好啦,到这里了。。。从这里就开始入正题了。

    所谓投标测试,重点你测出的漏洞越多越好,和安全测试一样,不同于渗透。好像有点绕,打一个比方,banner泄露,apache版本泄露,这个基本没什么危害的也可以算漏洞,也是可以加分的。

    没啥说的,开始测试(下面可能点有些啰嗦,方便所有人看。),我是直接用手机测试的。

    第一个坑:

    访问微信河北体彩11选5今天开奖显示访问超时?

    说明网站使用https,需要把证书传上去,安装就好了。

    整好了之后开开心心打开小程序,又发现,TM数据包是加密的,怀着郁闷的心情开始测试,发现测完了只有几个漏洞,确实蛋疼?;购迷谖叶缫挂约倘盏牡难芯肯?,到了深夜两点,找到了加密方式和密钥(据说是看动漫到了12点多)

    第二个坑:

    如何获取微信小程序的加密方式?

    微信小程序的包其实是储存在本地的,只要是访问过微信小程序,他的包自动下载到本地。在查了半天资料,终于把wxapkg包下载到了本地,然后随便下载个解包工具,就可以得到小程序前端的代码(最好不要用那个nodejs解包的方法)

    有了前端代码,很简单的从JS里面调取出来了加密方式,密钥等,原来是ECB加密,把数据包放到了解码那里,终于解码出来了,看到了解码出来的JSON字符串,心想终于可以测业务逻辑漏洞了。就这样第三个坑来了。

    第三个坑

    这个坑坑了我一晚上,因为这不是我的问题,是解码网站的问题。(这也是这篇文章主要想吐糟的地方)先附上两个解码网站: //tool.chacuo.net/cryptaes//www.seacha.com/tools/aes.html

    从图可以看出,加密数据,通过密钥解密,然后得到的值是一样的。

    然后看下图:

    确实没错,相互转换解密没问题。

    下面再看一张图:

    看这张图,我可能遇到了玄学,这还是ECB吗?

    为啥加一个双引号就差这么多呢?然后看下图:

    看见这张图之后我吐了一口老血,你竟然给我编码…我服了。

    下面说下原理,上图左部分的网站,会把我输入的{a=b,c=”d”} 里面的双引号,先html转义之后,然后再进行ECB加密。

    所以这里说一句,上面其实不用理解,记?。?nbsp;我们要用这个网站解密。

    还有点,如果感觉网站很麻烦的话,其实可以把解密集成到burp里面,这样可以方便点。

    文章里面不涉及技术,只涉及思路,大家感兴趣根据思路去做一下,自己去踩一下坑,毕竟如果我把所有步骤图放上,按步操作会局限大佬们的思想。

    对了,最近SRC的活动又出来了,没事的大佬可以去赚钱去了。。。。

    文章有哪些错误,或相互学习讨论的知识可以在评论留言。

    *本文作者:一只耗子,本文属于FreeBuf原创奖励计划,未经许可禁止转载。

    分享至 : QQ空间
    收藏
    原作者: 一只耗子 来自: freebuf
  • 标记生成出错,请与管理员联系! 2019-05-17
  • 这个问题,不是我们那些学者所讲的,国家崛起美国害怕了。而是美国舞着大棒,配合国内的资本共同讹诈。 2019-05-17
  • 香河县纪委监委严把信访举报交办督办回复“三关” 让信访举报件件有着落 2019-05-16
  • 向雷锋同志学习 厉害了!体彩志愿服务团队 2019-05-14
  • 美国20岁说唱歌手在迈阿密中枪疑似身亡 2019-05-14
  • 第37届香港电影金像奖颁奖典礼举行 2019-05-04
  • 这是一个错误的观点!这个错误的观点在自以为懂得马克思主义的人群中非常普遍!所以,这也就是中国为什么真正懂马克思主义的人不多的主要原因! 2019-05-02
  • 经济专家那么多,谁写出如何搞好公有制呢? 2019-05-02
  • 海军首次举行水雷战竞赛性考核 2019-05-02
  • 公共图书馆如何更有效地服务读者 2019-05-02
  • 男子模仿网红骑马上路 机动车道飞奔当街摔晕 2019-04-30
  • 小长假前两天,广州哪些文化场馆最火爆? 2019-04-30
  • 高清图集:习近平在山东考察 2019-04-28
  • 2000多家国企医院年底前完成剥离 2019-04-25
  • 天津旅游嘉年华下周开幕 多项活动展现文旅融合--旅游频道 2019-04-15
  • 3d试机号对应码 新时时彩和老时时彩有什么区别 老时时彩杀号 快乐飞艇是官方彩票吗 双色球选号 西安福彩中心电话号码 江西时时彩投注视频 北京赛车pk10彩票助手 重庆市幸运农场直播 11选5走势图 浙江体彩20选5号码 排列三吧 重庆时时彩官网 幸运农场彩票软件 福彩3d字谜专区 4场进球彩对阵球队