搜索

[6742] 2020-05-31_微信小程序的修炼五脉（降妖）

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-17
2020-05-31_微信小程序的修炼五脉（降妖） 微 信 小 程 序 的 修 炼 五 脉 （ 降 妖 ） E 安 全   2 0 2 0 - 0 5 - 3 1 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 P o c   S i r 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 N o . 1 N o . 1 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 历 经 寻 魔 、 访 道 、 如 意 、 修 仙 之 后 来 降 妖 ， 这 也 是 本 微 信 程 序 渗 透 专 题 的 最 后 篇 章 了 。 有 攻 既 有 守 ， 前 四 篇 为 家 带 来 的 都 是 攻 ， 收 尾 作 者 不 妨 同 样 站 在 “ 恶 不 赦 ” 的 攻 击 者 度 浅 谈 下 微 信 程 序 的 个 防 守 要 点 。 敌 所 讨 厌 的 便 是 我 们 需 要 注 意 的 ， 如 何 有 效 的 刺 中 攻 击 者 的 痛 处 在 防 守 中 分 的 重 要 。 安 全 在 些 时 候 是 个 成 本 的 问 题 ， 防 守 成 本 和 攻 击 成 本 是 成 正 的 ， 在 这 种 情 况 下 不 能 味 地 增 加 防 守 成 本 ， 要 在 防 守 成 本 有 限 时 尽 可 能 加 率 使 攻 击 成 本 成 倍 增 。 N o . 2 N o . 2 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 道 高 一 丈 保 护 程 序 安 全 应 从 源 码 安 全 、 接 安 全 、 后 台 安 全 、 平 台 安 全 四 。 源 码 安 全 ： 源 码 安 全 ：             由 于 前 微 信 程 序 对 I O S / 安 卓 客 户 端 上 的 程 序 包 并 未 做 任 何 加 密 ， 所 以 程 序 的 源 码 可 以 轻 松 被 还   原 出 来 。 并 且 在 本 看 来 加 密 程 序 也 是 完 全 没 有 必 要 的 ， 毕 竟 全 部 都 是 静 态 的 本 地 的 资 源 ， 即 使 加 密   了 花 点 时 间 照 样 逆 向 出 本 地 代 码 。 那 么 既 然 源 码 终 究 是 要 被 看 的 ， 使 代 码 混 淆 和 类 似 W e b p a c k 打 包   具 来 开 发 程 序 将 会 是 个 不 错 的 选 择 。 对 于 混 淆 以 及 打 包 之 后 的 源 码 ， 可 能 能 直 接 劝 退 部 分 渗 透   萌 新 或 者 能 延 渗 透 测 试 者 的 分 析 时 间 ， 虽 然 法 百 分 百 保 护 源 码 但 能 增 加 攻 击 成 本 这 点 就 够   了 。 另 外 请 在 发 布 程 序 时 在 设 置 中 勾 选 “ 上 传 代 码 时 动 压 缩 混 淆 ” 和 “ 上 传 时 进 代 码 保 护 ” ， 虽 然 这 样   做 只 会 并 没 有 多 处 ， 但 安 慰 还 是 有 的 ， 和 买 《 五 年 中 考 三 年 模 拟 》 却 从 来 不 做 个 道 理 。 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
另 外 设 置 程 序 动 / 动 埋 点 也 是 个 常 不 错 的 选 择 ， 好 的 埋 点 可 以 监 控 到 程 序 的 各 种 异 常 。 它 好   是 个 没 有 交 互 的 蜜 罐 ， 个 不 熟 悉 您 程 序 的 陌 在 还 原 完 源 码 之 后 次 性 净 利 落 的 把 埋 点 代 码   全 部 去 除 是 基 本 不 可 能 的 ， 难 免 会 遗 漏 些 点 ， 那 么 当 他 将 程 序 导 开 发 者 具 运 时 ， 就 像 我 们   对 个 不 熟 悉 的 且 载 有 蜜 罐 的 内 顿 扫 描 样 ， 必 然 会 触 发 埋 点 ( 蜜 罐 ) 。 普 通 户 是 不 可 能 将 个 微   信 程 序 放 置 在 开 发 者 具 上 运 的 ， 若 收 到 了 程 序 在 开 发 环 境 中 运 的 数 据 报 告 ， 并 且 其 I P 不 是   公 司 的 出 I P 那 必 然 是 有 攻 击 者 在 对 您 的 程 序 做 渗 透 测 试 。 接 接 安 全 ： 安 全 ：   推 荐 使 A E S + R S A 的 式 对 数 据 进 加 密 ， 并 且 结 合 时 间 戳 对 数 据 包 进 签 名 （ 具 体 详 情 本 已 和 歌   达 成 战 略 合 作 ， 家 直 接 在 歌 搜 索 即 可 获 取 多 套 成 熟 案 ） 。 如 此 来 便 可 保 证 传 输 数 据 在 攻 击 者 没   有 解 包 程 序 之 前 法 被 读 取 / 修 改 ， 且 这 样 做 真 的 挺 恶 的 也 从 侧 增 加 了 攻 击 成 本 。 保 证 了 传 输   过 程 中 的 相 对 安 全 ， 接 下 去 便 是 不 能 有 S Q L 注 、 平 越 权 这 样 的 漏 洞 存 在 。 另 外 请 不 要 忘 记 微 信 程 序   w x . l o g i n   功 能 的 特 性 ： 1 . 每 次 调 都 会 成 个 次 性 有 效 的   j s _ c o d e   参 数 2 . 成 的   j s _ c o d e   具 有 有 效 时 间 3 . 同 时 间 只 能 有 个   j s _ c o d e   有 效 （ 例 如 程 序 内 连 续 成 两   个 c o d e   A 和 B ， 那 么 的 A 便 不 再 有 效 ） 4 . 渗 透 测 试 者 法 在 开 发 者 具 内 成 合 法 的   j s _ c o d e   。 搞 安 全 ， 领 导 的 话 定 要 听 ， 但 说 明 书 上 的 内 容 不 定 要 全 听 ， 我 们 可 以 让   w x . l o g i n   这 个 功 能 应 场 景 丰 富 些 ， 并 不 只 有 在 登 录 相 关 操 作 时 才 调 它 。 我 们 也 可 以 把 他 当 做 个 校 验 码 成 具 ， 在 些 关 键   操 作 调 此 函 数 成   j s _ c o d e   返 回 后 端 来 判 断 此 操 作 是 否 合 法 。   那 么 当 攻 击 者 想 要 测 试 A P I 时 他 必 须 每 个 操 作 都 使 个 新 的   j s _ c o d e   ，   j s _ c o d e   不 能 本 地   合 法 成 只 有 去 机 上 真 操 作 抓 取 个 ， 但 这 样 测 次 抓 次 很 烦 啊 ， 但 是 如 果 攻 击 者 想 投 乔 同 时 抓   取 多 个   j s _ c o d e   也 不 想 ， 同 时 间 只 有 个 有 效 且 放 时 间 了 还 会 过 期 。 此 时 若 数 据 包 本 身 还 有 加 密   以 及 签 名 步 骤 ， 攻 击 者 便 是 有 苦 说 不 出 ， 直 接 想 砸 电 脑 。 后 台 安 全 ： 后 台 安 全 ： 第 ， 绝 对 不 使 弱 令 ； 第 ， 绝 对 不 漏 升 级 任 何 个 插 件 ； 第 三 ， 绝 对 后 台 的 不 对 外 访 问 。 这 块   并 没 有 什 么 可 以 详 谈 的 ， 使 复 杂 密 码 和 及 时 升 级 是 基 本 内 容 ， 将 管 理 平 台 放 置 在 内 不 让 公 访 问   则 能 劳 永 逸 ， 是 先 有 可 被 攻 击 的 系 统 后 有 侵 者 ， 当 管 理 系 统 在 公 下 不 可 直 接 访 问 时 也 只 能 考 虑 物   理 侵 了 。 平 台 安 全 ： 平 台 安 全 ： 这 提 到 的 平 台 是 “ 微 信 开 发 平 台 ” ， 程 序 的 切 都 与 他 息 息 相 关 ， 在 此 平 台 上 切 数 据 的 安 全 疑 也   是 分 重 要 的 。 每 个 程 序 都 有 组 与 之 对 应 的 登 录 账 户 ， 这 个 账 户 的 密 码 理 应 定 期 更 换 ， 若 被 意 外 泄   露 也 问 题 不 毕 竟 微 信 有 强 的 安 全 机 制 后 续 还
要 开 发 者 扫 码 确 认 之 后 才 可 登 录 。 接 下 来 较 重 要 的 两 块 便 是 “ 开 发 设 置 ” 中 的 “ 程 序 A p p S e c e t ( 密 钥 ) ” 和 “ 程 序 代 码 上 传 密 钥 ” ， 这 两 两 串   密 钥 不 应 该 在 程 序 包 内 或 者 互 联 任 何 个 可 被 公 开 访 问 到 的 地 储 存 ， 另 旦 怀 疑 被 泄 露 需 及 时 重   置 以 及 重 新 成 。 程 序 代 码 上 传 功 能 的 “ I P 名 单 ” 是 默 认 开 启 的 ， 请 务 必 保 持 其 开 启 状 态 并 配 置 完 善 的 名 单 。 随 后 便 是 “ 第 三 设 置 ” 中 的 授 权 问 题 ， 请 定 期 查 看 您 程 序 账 户 内 的 授 权 ， 若 有 已 经 不 再 使 的 第 三   平 台 请 即 停 授 权 给 他 们 权 限 ， 并 及 时 更 改 些 已 授 权 权 限 于 实 际 需 要 使 权 限 的 第 三 平 台 的 权   限 （ 可 以 通 过 重 新 授 权 的 式 实 现 ） 。
N o . 3 N o . 3 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 结 语 “ 久 以 致 远   继 往 开 来 ” 除 了 微 信 程 序 还 有 百 度 程 序 、 京 东 程 序 、 付 宝 程 序 等 等 ， 想 要 列 举 是 徒 劳 的 ， 这 类 类   程 序 是 当 今 百 年 未 有 之 变 局 下 个 时 代 化 的 缩 影 ， 他 只 是 我 们 中 华 明 此 时 的 种 载 体 。 我 们 是   股 股 传 奇 的 后 浪 推 挤 着 这 切 前 ， 当 时 间 点 点 的 往 后 挤 啊 ， 程 序 他 可 能 也 就 变 了 或 者 成 为 了   只 能 带 的 回 忆 ， 但 不 论 河 之 后 会 出 现 什 么 ， 当 这 篇 章 必 然 过 了 时 时 ， 安 全 研 究 渗 透 测 试 的 本 质 终   究 还 是 换 汤 不 换 药 。 不 断 地 学 习 货 和 实 战 经 验 是 我 们 此 时 为 了 活 下 去 的 “ 硬 通 货 ” ， 但 如 果 我 们 失 去 了   安 全 的 思 想 和 初 ， 只 顾 昧 实 践 却 丢 了 万 不 变 的 理 论 帽 失 去 了 本 应 坚 守 的 品 德 操 守 也 会 有 些 乏 味   了 吧 。 站 在 巨 、 萍 客 、 个 够 强 并 不 服 输 的 身 上 向 前 继 续 学 习 ， 活 出 潇 洒 ！ 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 微 软 警 告 ： P o n y F i n a l 勒 索 软 件 正 在 泛 滥 ！ 印 度 、 伊 朗 和 美 国 均 已 中 招 英 国 廉 价 航 空 公 司 e a s y J e t 数 据 泄 露   将 面 临 1 8 0 亿 英 镑 巨 额 诉 讼 E 课 堂   |   记 住 这 八 大 防 骗 技 巧 ！ “ 人 人 都 是 安 全 官 ” 活 动 进 社 区 所 有 i P h o n e 设 备 都 可 能 被 解 锁 ！ 黑 客 发 布 新 款 越 狱 软 件 “ U n c 0 v e r ” 征 集   |   2 0 2 0 世 界 信 息 安 全 大 会 议 题 征 集 全 面 开 启 ！ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理