逻辑漏洞 on SoulJian小站

渗透思路：登录窗口

Sat, 29 Aug 2026 23:58:00 +0800

写在前面：合法学习边界

本文思路只用于授权测试。对真实系统爆破、撞库可能触犯法律。

一、登录框是什么

登录框是 Web 渗透最常见的入口，也是最容易出问题的地方。拿到一个登录窗口，按下面的清单过一遍。

二、思路清单

1. 弱口令与默认口令

1
2
3


admin/admin、admin/123456、root/root
后台常见默认口令字典
根据系统类型试默认口令（如旧设备、CMS）

2. 暴力破解

1
2
3
4


账号锁定策略是否有效
抓包看是否有验证码/限速
用 Burp Intruder / hydra 爆破
注意：先确认有无频率限制，别打挂业务

3. SQL 注入

1
2
3


用户名处尝试 ' or 1=1、admin'--
万能密码、报错注入
测试是否拼接 SQL（很多老系统）

4. 验证码逻辑

1
2
3
4


验证码是否绑定会话/手机
是否可重放、不过期
是否只在前端校验
图形验证码能否识别（OCR/降级）

5. 忘记密码 / 找回逻辑

1
2
3
4


能否爆破验证码/Token
能否改返回包/参数（如 id 越权改密）
找回链接是否可预测
短信验证码是否可重放

6. 注册与越权

1
2
3


注册接口是否可越权（给自己提权/改角色）
注册后能否访问管理功能
批量注册/枚举用户

7. 测试账号与接口泄露

1
2
3


源码/注释里的测试账号
JS 里的隐藏登录接口
接口未授权（绕过登录直接调业务接口）

8. SSO / 第三方登录

1
2
3


OAuth 回调校验（state/redirect_uri）
JWT 伪造/算法混淆
会话固定

三、优先级

1
2
3
4


先试弱口令/默认口令（成本最低、命中率高）
再看验证码与爆破
然后 SQL 注入、忘记密码逻辑
最后 SSO/JWT

执行顺序

1
2
3
4
5


第 1 步：先试弱口令/默认口令（低成本高命中）
第 2 步：看验证码与限速，再决定是否爆破
第 3 步：试 SQL 注入与万能密码
第 4 步：测忘记密码/注册/越权逻辑
第 5 步：最后查 SSO/JWT/会话问题

四、小结

登录框的测试核心是“先低成本试探（弱口令/默认口令），再看认证逻辑（验证码/找回密码），最后查授权（越权/SSO）”。把清单过一遍，多数登录框的问题都逃不掉。

小程序渗透测试实战（全流程）

Sat, 29 Aug 2026 21:20:00 +0800

写在前面：合法学习边界

小程序渗透只允许在授权目标进行。抓取用户数据、篡改支付等可能违反平台规则与法律。

一、小程序的安全模型

小程序 = “微信容器内的前端 + 后端接口”。前端代码会被下载到本地（加密 wxapkg 包），后端接口才是真正的攻击面。

1

关键点：前端包可获取 → 后端接口必须服务端校验

二、渗透全流程

1
2
3
4
5
6
7
8
9


1. 信息收集
2. 抓包（见《小程序抓包配置实战》）
3. 获取小程序包并反编译
4. 源码分析
5. 接口测试（未授权/越权/注入/逻辑）
6. 支付逻辑测试
7. 云函数/云开发测试
8. WebView 与客户端漏洞
9. 汇总报告

三、步骤 1：信息收集

1
2
3


小程序名称、AppID、主体公司
搜索小程序相关域名、接口、第三方组件
用 whois/备案信息找更多资产

四、步骤 2：抓包

按《小程序抓包配置实战》操作，抓到接口后先摸清：

1
2


有哪些接口、参数、鉴权方式（token/cookie）
登录态从哪来

五、步骤 3：获取并反编译小程序包

获取 wxapkg

1
2


安卓：/data/data/com.tencent.mm/.../appbrand/pkg/ 找到 .wxapkg
模拟器/root 后直接拷贝

解密 + 反编译

1
2
3


工具：CrackMinApp / wxappUnpacker / 小程序反编译系列
步骤：解密 wxapkg → 反编译出 JS/JSON/WXML
注意：新版可能加了分包、加密，需对应版本工具

六、步骤 4：源码分析（重点）

1
2
3
4
5


接口地址与参数（app.js / request 封装）
AppID / AppSecret（泄露则可调服务端 API）
加密/签名逻辑（AES key、sign 算法）
业务逻辑（权限、支付、提现）
第三方 SDK / 云开发配置

七、步骤 5：接口测试

把源码里挖到的接口全部测一遍：

1
2
3
4
5


未授权访问（去掉 token 试试）
越权（改 id/uid）
SQL 注入 / 命令注入
逻辑漏洞（分页、枚举、状态修改）
接口限流/防刷

八、步骤 6：支付逻辑

1
2
3
4
5


改 amount/price（改 0.01/负数）
改数量导致金额异常
支付回调重放
优惠券/积分重复领取
（支付金额必须服务端重算才算安全）

九、步骤 7：云函数 / 云开发

1
2
3


微信云开发（cloud function）
检查云函数权限、密钥、可注入点
云环境 ID 泄露 → 尝试越权调用

十、步骤 8：WebView 与客户端

1
2
3
4


WebView 远程调试
url 跳转漏洞（任意跳转）
js 桥接（JSBridge）接口
深链（scheme）处理

十一、步骤 9：报告

1
2


按漏洞影响排序（支付/越权 > 信息泄露 > 逻辑）
给出验证步骤与修复建议

十二、检测与防御（蓝队）

1
2
3
4
5


服务端统一鉴权，不信任前端参数
支付金额服务端计算
敏感密钥不落前端包
接口限流与防刷
云函数权限最小化

十三、小结

小程序渗透是“Web 渗透 + 移动端抓包 + 源码审计”的组合。核心结论：前端包永远可拿，安全只能靠后端。把抓包、反编译、接口测试、支付逻辑四步走通，就是一个完整的小程序渗透项目。

业务逻辑漏洞实战

Sat, 29 Aug 2026 15:20:00 +0800

写在前面：合法学习边界

业务逻辑测试只允许在自建靶场或授权环境进行。对真实系统篡改支付、刷优惠券可能触犯法律。

一、漏洞原理

业务逻辑漏洞不是技术缺陷，而是业务流程/规则本身没被校验。攻击者不绕防火墙，而是“顺着业务规则钻空子”。

常见形态：

1
2
3
4
5
6


支付逻辑：改金额、负数、改数量、改价格参数
验证码：不校验、可重放、前端校验、短信轰炸
优惠券/积分：重复领取、并发领取、越权使用
越权：他人订单/支付操作
重放：同一请求重复生效
并发：同一操作并发执行多次

漏洞本质：客户端可影响业务关键参数，服务端没做服务端校验。

二、影响与危害

1
2
3
4


资金损失（改价、刷单）
账号/订单被篡改
短信/邮件轰炸
业务数据污染

风险等级：高（直接影响钱和业务）。

三、利用 / 复现

支付篡改

1
2
3


1. 下单抓包，把 price/amount 改成负数或 0.01
2. 或改数量导致金额异常
3. 观察支付/订单状态

重点参数：

1

price、amount、quantity、total、discount、couponId

验证码绕过

1
2
3
4


前端校验 → 直接抓包重放
验证码不绑定手机/请求 → 复用
验证码不过期 → 重复使用
短信接口无频率限制 → 轰炸

越权与重放

1
2
3


改订单/支付单 ID 操作他人订单
同一支付回调重放多次到账
优惠券接口并发请求重复领取

复现操作步骤

1
2
3
4


第 1 步：抓支付/优惠券/验证码/越权接口
第 2 步：改金额/数量/重放/并发请求
第 3 步：看金额是否变化、是否重复生效 —— 变化即确认
第 4 步：验证码复用、越权 ID 替换测试

四、检测

1
2
3
4


对订单/支付/优惠/验证码接口做参数篡改测试
并发测试（多请求同时）验证竞态
检查服务端是否信任前端传的价格/角色
对比不同账号的操作边界

五、防御

1
2
3
4
5


关键金额/数量由服务端计算，不信任前端
验证码绑定会话+有效期+频率限制
接口幂等与去重（订单号、nonce）
并发控制（乐观锁/分布式锁）
所有敏感操作服务端校验权限与归属

六、修复

1
2
3
4


服务端重算金额，删除可改价格参数
验证码服务端校验并限频
订单支付加唯一约束与回调去重
修复后复测：改价/重放/并发均被拦截

七、小结

逻辑漏洞没有“万能 payload”，靠的是理解业务。测试时把每个关键业务流程拆开：参数能不能改、能不能重放、能不能并发、归属有没有校验。它比技术漏洞更考验人。