微信小程序反编译源码后的一次偶然发现 作者: lattice 时间: 2020-04-30 分类: 网络安全 1 条评论 # 起因 一大早老爸给我发了个大佬的文章 具体的需求就是反编译小程序，拿到小程序的源码 好吧，看看就看看 ## 第一步 先贴上大佬的文章： https://www.cnblogs.com/_error/p/11726356.html 第一步我们就需要小程序的源码包 wxapkg 获取的方式非常容易，上面的文章也有写 我就把具体步骤描述出来好了 因为需要root权限获取系统文件，所以这里用到了安卓模拟器 （俺用的夜神，其他的也可） 模拟器内登陆微信并打开任意一款小程序（这里就不截图了..） 之后安装RE文件管理器，找到如下目录 `/data/data/com.tencent.mm/MicroMsg/{User}/appbrand/pkg` **{ User } 为一串16进制字符** 可能到`/data/data/com.tencent.mm/MicroMsg/`目录之后大家会不清楚具体是哪个文件夹，这里给大家举例  继续跟进上面的目录路径之后，就可以到达小程序的源码包目录  务必将你需要测试的小程序源码包打包成压缩文件  之后将此压缩文件选中，通过模拟器里的微信发到电脑就好了 这个就是我们需要反编译的小程序源码包  ## 第二步 这里需要用到工具 https://github.com/qwerty472123/wxappUnpacker/releases 下载下来，我就直接丢到linux里测试了 **注意：linux需要装好node环境(node环境安装直接百度就好了..很简单快速），同时要cd到该工具的目录下运行命令`npm install`** ## 第三步 所需环境和工具咱都弄好之后 开始反编译小程序，具体我们只需要用到wuWxapkg.js这个文件 **此时的操作还是需要在工具目录下** 运行命令`node wuWxapkg.js 'wxapkg包路径'` 脚本一顿操作，就会在你那个wxapkg包路径的目录下反编译出小程序的源码了  之后我就直接把这个源码丢给公司程序员去看了 # 后续 **下面的操作属于巧合导致我发现了信息泄露，不一定要像我这样用什么开发者工具，直接翻上面的小程序源码也可以找到敏感信息，下面内容只是扩展** ## 微信开发者工具 老爸要我看看源码是否可以正常显示 这里就要用到微信开发者工具了 https://developers.weixin.qq.com/miniprogram/dev/devtools/download.html 但是导入这个小程序的源码包 需要任意一个开发者的AppId  这一步还是有门槛，需要有自己的公众号来申请  大概就是这样，填入之后导入之前反编译出来的小程序源码 ## 奇怪的请求 导入之后我发现有个`help.js`文件一直在请求`SESSION_KEY`  然后我直接定位到了目录里的这个js文件 发现里面都是..各种敏感信息（后台地址，支付接口id等）  （请求的原因是他源码里没填写`SESSION_KEY`，正常发布了的小程序肯定是填写完整可以正常运行的） ## 继续深入 后面一直在翻源码的js代码看 发现小程序所有铭感信息都是写在了js文件里  所以后期想要测试的小伙伴，目光都可以放在源码的js文件里，方便大家定位，剩下具体的就不做截图了 # 结尾 emmm其实大概也就这样吧，大家可用这个方法去测测别的小程序，看看能不能翻到一些敏感信息吧，或许对大家刷SRC也有帮助呢 XD
咪游网络CRM系统某处xss 作者: lattice 时间: 2020-01-17 分类: 网络安全 评论 在线索状态处添加线索 插入xss payload 提交保存  保存后刷新页面可直接弹窗  审计相关代码发现，在代码处未规避xss有关函数导致直接输出  最后引发弹窗 有关文件路径：\application\admin\view\client\status_list.html
第三届强网杯决赛应急响应WriteUp（上半场） 作者: lattice 时间: 2019-09-23 分类: 网络安全 评论 # 写在开头 很有幸能进入这次强网杯的决赛并且拿到第三名的成绩 陪跑了几年线下awd的比赛了，感谢团队成员们的努力  下面是决赛上半场应急响应的WriteUp ## 事中应急响应(两道选择题) ### 第一题 网站目录下的apache文件夹里 access.log有很多post登录记录 所以判断为口令破解  故选择 **E、口令破解攻击** ### 第二题 由于判断是暴利破解 所以可以选择ban攻击者ip 修改登录密码防止弱口令登录 安装waf或者ips等防护暴力破解导致的服务器运行故障 故选择 **C、将攻击源IP地址添加到防火墙 D、修改弱口令为强口令 E、安装WAF、IPS等防护软件或硬件 ** ## 事后应急响应（九道问答题） ### 第一题 把网站源码拖下来之后直接扫描  可直接得shell文件名称： **admmanager**（答案） ### 第二题 在var目录下存放了网站目录和日志目录（log）  故答案为 **/var/log/** ### 第三题 使用命令 `grep "Accepted " /var/log/auth.log | awk '{print $1,$2,$3,$9,$11}'` 读log文件夹下的auth.log文件 发现有个用户名为mysq1的用户名非root用户名 所以确定为黑客登录用户名  所以可得ip地址：**172.16.5.143**（答案） ### 第四题 同上可得用户名 **mysq1**（答案） ### 第五题 同上上可得登录时间 **10:34:30**（答案） ### 第六题 输入命令：ps aux 可以发现挖矿进程  `root 1451 0.0 0.7 290052 7904 ? Sl Sep21 0:20 ./xmr-stak-cpu` 故答案为 **xmr-stak-cpu** ### 第七题 可以先发现在/etc目录下有/xmr-stak-cpu挖矿的文件夹 确定为挖矿文件价，但是挖矿需要可执行的sh结尾文件 在/bin文件夹下面发现两个sh文件(11.sh和22.sh) 在11.sh文件里发现了最终执行挖矿的文件  最后可直接确定绝对路径 **/etc/xmr-stak-cpu/bin/xmr-stak-cpu**（答案） ### 第八题 可以先发现在/etc目录下有/xmr-stak-cpu挖矿的文件夹下有个config.txt文件，里面有钱包地址  "wallet_address" : "fogyisland_x@hotmail.com", 故答案 **fogyisland_x@hotmail.com** ### 第九题 文件还原题...老子不会 ## 场景文件下载链接 下面提供在上方WriteUp中出现的文档以及文件 为比赛中主要的几个目录，可供下载学习 **[点这里下载哦~](https://www.heavensec.org/usr/uploads/2019/09/%E5%BA%94%E6%80%A5%E5%93%8D%E5%BA%94.zip)** # 总结 一个人打完上半场..最后上半场第九名 从shell响应到挖矿木马，绿盟出的题还是ok的 累了，各位晚安
关于上传点使用对象存储的套路 作者: lattice 时间: 2019-05-21 分类: 网络安全 4 条评论 操 不知道为啥今天cloudflare的cdn今天为啥这么慢 ## 开头 对象存储现在运用的越来越广泛了，现在很多厂商在上传头像、文件的位置都会运用对象存储这个功能 毕竟存储空间大又便宜并且与主机分离，相对安全 包括进行网站的备份什么的，都非常方便 像阿里云的OSS或者腾讯云的COS 可参考： https://www.heavensec.org/archives/124.html 下面是针对上传点使用对象存储套路的分享 （反正我也不知道算不算漏洞，有点懵的上头） ## 套路分析(可能也算不上是漏洞吧) ### 起因 **下方截图已打码处理** 上个月挖了一个网易某个站点的存储xss 首先还是先上传了构造好xss的html文件 详细可参考： https://www.heavensec.org/archives/120.html 上传之后数据的格式是：  文件是在对象存储服务的网址中出现并且也出现了xss弹窗  当时这个漏洞是按中危接收了（等了四天..哭了都） ### 之后嘞 之后就是...我又来到了蚂蚁金服，随便挖了一手 也是碰到了一个上传点，网站同样是使用的对象存储 上传点是上传头像的地方 所以还是老套路，构造xss的jpg文件上传改包 这时我们获取到的数据包肯定是jpg文件类型的数据包 所以在数据包的```content-type```中后面跟着的是```image/jpg``` **重点来了（敲黑板）** 然后举一反三呗...想起了上面网易的那个存储xss的数据包，然后就把数据包改成了同样的格式  红色箭头的部分就是需要改动地方```.jpg```全部改成```.html``` 然后再将```content-type```第三个红色箭头的地方把```image/jpg```改成```text/html``` GO出去，就显示上传成功了 文件具体路径网址的构造就不多说，套路教到了，剩下的自己体会 最后也出现了弹窗  性感彩烈的提交去了 ### 结果 一波冷水直接劝退  审核的回复完全没有问题，oss服务器的确也是无法限制上传文件的类型..但是撞洞了...头疼 ## 写给提供对象存储服务的厂商的一些建议 数据提交的部分还是得做处理... 不然直接改数据格式绕过，啥文件都上传上去了，最后懂我意思吧...? ## 最后 还是那句话吧..每个src都有自己的规则，尊重各个src的审核标准以及等级评判标准，再多的东西逼逼这么多也没用..该咋样还是咋样，水费涨价，省着点口水继续挖洞吧 **在座的厂商都是爸爸，劝退可怕，告辞**
一些关于服务器的问题 作者: lattice 时间: 2019-05-05 分类: 生活日记,日常生活 评论 ## 感动中国 本站服务器已经从香港idc迁到了腾讯云的广州服务器 毕竟离自家近且对海外出口速度应该快一些吧...?? ## 关于配置与价格 一开始我使用的是香港idc，只花了29元抢的神机（续费也是29...） 后期升级配置变成了个人博客的服务器，价格也直接飙到了 57/Month  抛弃这台服务器真的太心疼了...因为不限流，用来做ssr真的完美 但是个人预算顶不顺...哭 所以就直接入手了腾讯云的学生机（感谢Adrian给的建议） 学生机的配置就是默认配置，想升级结果发现血妈贵....  价格是我直接怼上了120/Year，其实还可以吧.. 但是服务器配置还是不能心满意足，后期很多东西可能需要在阿里云的学生机上搭 阿里云跟腾讯云的学生机价格差不了多少，不贵 ## 关于对象存储 Emmm对象存储这个的话... 之前买了个一年阿里的oss，好像才16块钱？？ 反正很便宜，然后购买腾讯云的学生机也送了六个月50G的cos存储(安利腾讯云) 所以每周服务器都会备份到阿里oss和腾讯cos 但是typecho的图片对象存储还没特别完善，插件很多都get不到图片和自带水印，所以文章内所上传的所有图片还是暂存主机 ## 关于域名 现在域名还是使用 https://www.heavensec.org/ 因为原本服务器使用的域名是https://www.shadowlink.top/ 还存在一定的流量，所以https://www.shadowlink.top/ 这个域名使用了反向代理到了现在所使用的域名(虽然可能存在了ssl证书的问题...主域名没出现就行) 后期再考虑换成个人博客的域名，现暂使用原团队网站域名 ## 安全问题 CDN用的是连我自己都讨厌的Cloudflare 迁移之后暂时还没全面完善和检查 如果发现问题可以直接找我来上报，发现了全部有奖励 （有是有，但是没多少，范围就Under 30吧） 网站程序方面问题不接收 因为是typecho官方问题我不能处理，所以只收针对服务器配置的安全问题 任何问题可以直接微信联系我  ## 写给圈子里的朋友 可以对网站进行测试与漏洞挖掘 但是本人不接受任何端口爆破和压力测试等攻击性测试 如发现，爆菊处理 ## 写给其他博客的访客 这个博客具有极强包容性也欢迎各位的访问 希望技术贴能让你们学到东西 怼人贴能让你们看清更多事实 **我是Lattice，拜你个拜**