# 前言

省级单位攻防演练，一个单位直接把数据分拿满，从多个接口的信息泄漏到验证码逻辑缺陷，再到 token 泄漏账号接管，再到另一个小程序的信息泄漏至任意账号登录从而泄漏百万数据，开发人员包是外包人员，不过我就喜欢外包人员开发的系统，嘿嘿嘿。

![图片](/media/202607/257825b38f324b48b0eb08ab26e73d8e8840.png)

# 验证码回显

某小程序，可直接手机号微信登录，个人信息处修改，发现需要验证码

![图片](/media/202607/03c127bb0fa84ccf8e65afe32888f27a9862.png)

这里没啥强度，发送验证码，抓包，直接回显验证码，简单挖个小洞开开胃

![图片](/media/202607/7c0e35722e314d32afdaa3bc840aafa68824.png)

# 信息泄漏

这里登录过后点击首页

![图片](/media/202607/088d9a30af564dae9f09d122254531544727.png)

抓包，发现存在两个接口泄漏了用户信息，手机号，真实姓名，还有用户反馈提出的一些问题内容信息，信息不是很多，只有几百条，完全没啥危害啊

![图片](/media/202607/782c0a4510ef4ef28e26c93a90cedff49136.png)

![图片](/media/202607/75bbd38d1a504feaa1bdd2b37dba021d6462.png)

# 越权

这里随便点点但是功能点都不多，发现一个反馈功能点

![图片](/media/202607/fb2dd4dc154d428b89f3fd4646b258c51085.png)

目前我是没有反馈任何内容的

![图片](/media/202607/4918dc27aa9b4f898a46290f82a32a358318.png)

抓包，可以发现请求包如下，不知道是jwt鉴权还是phone鉴权

![图片](/media/202607/a6367b9dcff14440902a47650c1477c98030.png)

这里直接更改手机号，直接越权获取其他人用户信息

![图片](/media/202607/9b70977087b540098c59fd38534693154642.png)

# 账号接管

后面就没啥东西可看了，随后进行反编译小程序看看，发现/user/check/xxxen接口

![图片](/media/202607/cfbcbadfa66f48298dc60546ab3908335834.png)

这里直接访问该接口，直接回显jwttoken信息，我这一看就有东西啊

![图片](/media/202607/2aae6c68b85e489eb309626aca94449b9963.png)

先解码一下jwttoken，发现里面没啥东西，但是存在一个xxxphone的参数

![图片](/media/202607/988043cdfaa74d639ca431a095e520604980.png)

这里直接把xxxphone参数拼接到接口后面，发现xxxphone从0变为1111，我一看这应该有戏啊

![图片](/media/202607/70d4793d13694d9f8297ad83dba67ad41558.png)

这里直接变成我自己的手机号试试，成功回显自己的手机号token信息

![图片](/media/202607/e74caca3a3ef4754b2f4434827babe5f8609.png)

这里可以发现接口如果没有token信息会报错

![图片](/media/202607/86419c4190fa418987058d939fed72374538.png)

因此我们直接使用xxxen接口生成的token信息，成功回显内容，这里应该是存在任意账号登录了，哈哈哈哈

![图片](/media/202607/ba908ef0c5db4318abe6eaa3058f5f3d8042.png)

但是这个系统很奇怪，居然没有退出登录接口，搞了半天都不知道怎么验证是否能够任意登录，这里突然发现反馈功能点有搞头，因为我们上面获取到过其他反馈过信息的用户手机号，直接使用他们的手机号生成token，然后抓包替换，很明显成功啦，虽然手机号还是自己的，但是内容已经变成了其他用户的了，也算间接造成任意账号登录吧。

![图片](/media/202607/626af9077f864f2fa3acf8b6f06c8b1b6066.png)

# 信息泄漏至任意账号登录

这里突然发现该单位还存在另一个小程序，备案一模一样

![图片](/media/202607/9929822fefce4b78b646bd0df96e40298635.png)

这里点击进去进行登录，验证码，微信登录都试过了，发现登不进去，没接收到验证码，最后才发现下面有一行小字，写着仅限xxx人员使用，人麻了

![图片](/media/202607/1736eacad00240839babef56416c1f9a7223.png)

![图片](/media/202607/19e245d4a72540678ba5a0f2e3d512bc7988.png)

这里没啥好办法，直接反编译小程序，这里发现两个关键点，其中一个为keyword接口

![图片](/media/202607/ce4d00b9d4f941c186e5114acb49863b9937.png)

访问提示token信息不对，和第一个小程序的访问报错内容如出一辙

![图片](/media/202607/a08068fc9fb74b27af4b94ed848e04293893.png)

这里肯定是需要token才行，但是通过分析反编译小程序，发现并没有办法拿到，这里灵机一动，直接拿小程序1的token来试试，很好，没有报错了，提示参数缺失

![图片](/media/202607/df79120322d645248fc0b47d5a1708de6584.png)

这里给AI直接给出构造参数试试，这里直接给出的信息是Page和Size参数

![图片](/media/202607/38775953e25242338133fae4011f76582572.png)

直接拼接，还是报同样的错误

![图片](/media/202607/6ad11a5dc34147cb97069ec6ab7aaaed5237.png)

我这里弄了好半天，怀疑过自己怀疑过网络问题，就没有怀疑过Ai，结果他喵的大小写问题，这个智障AI。这里直接回显用户信息，包括手机号密码。账号权限等，我一看不就发财了，而且这里发现密码所有的都是一样的

![图片](/media/202607/511c0b06e97a42f1b0c27a189818d4be7398.png)

这里就是反编译小程序发现的第二个关键点，发现默认密码，xxxxx\_123654，这里可以直接大胆猜测加密的密码明文的密码就是这个

![图片](/media/202607/643dae17d4fd41cbb492eb5ed37a68461405.png)

但是上述这个也不重要了，因为还有更炸裂的，这里可以发现content字段，内容为4位数，第一个小程序的验证码回显漏洞也是四位数，所以我猜测这个可能是验证码

![图片](/media/202607/f82e2fcebf1b40579218c8e5b298d6887388.png)

这里直接使用手机号发送验证码，属性上述接口，发现content内容变了，直接使用content内容登录账号

![图片](/media/202607/14f2ee377ac3478c8e23dd36d25611528445.png)

成功登录，里面泄漏几百万的数据，全部都是小程序的反馈内容和其他内容，包括手机号，姓名，住址等等敏感信息。

![图片](/media/202607/2ef91717492c42859943e45059f4611a6317.png)

这里也是直接拿到加分，直接干到第一了，哈哈哈，有点意思

![图片](/media/202607/772830b9a17a4a3c81e3be6fa93480629772.png)

![图片](/media/202607/773fd9a146aa439c818bbbb440aa683e8753.png)

小程序接口泄漏接管