微信跳一跳 可以直接更改分数, POST 请求没有校验… 🤪

2017-12-31 21:29:48 +08:00
bravecoder  bravecoder

这两天逛 v 站出现了一众微信跳一跳 'AI',已经被刷屏了……

大致思路都是通过计算两点距离,模拟点击起跳来方式来实现的,

可是作为不越狱的苹果党,手里又没安卓机,看着被刷屏刷榜,非常不爽啊

想着抓个包看看能不能模拟下网络请求刷分,结果 ……

发现可以直接伪造 POST 请求刷分

https://gist.github.com/feix/6dd1f62a54c5efa10f1e1c24f8efc417

91221 次点击
所在节点   分享创造  分享创造
416 条回复
xqin
xqin
2018-01-01 10:14:27 +08:00
@chocolatesir 不是因为周一,因为我是在游戏出来的当天下午就把分数改成最高了(其实当时是输入了好多个 6,但结果是分数只有 100000),然后到晚上的时候分数变成 0 了.又来改了几次,然后就进黑名单了.

@bravecoder 可能现在服务器端加验证了,提交分数的时候,服务器会返回 108. 可能对里面的数据进行了验证.
提交的数据里新增加了 touchList 节点.
bravecoder
bravecoder
2018-01-01 10:17:36 +08:00
@uglyer appid 是公开的,小程序码 识别处理出来的信息里应该就包含
xqin
xqin
2018-01-01 10:22:32 +08:00
@qiayue 你这么搞恐怕是在害楼主吧.
uglyer
uglyer
2018-01-01 10:23:13 +08:00
@xqin touchList,如果所有点击都是同一个像素点, 就会被识别为作弊,AI 加了随机坐标就好了。
xiaomayi0323
xiaomayi0323
2018-01-01 10:23:16 +08:00
已经失效了吗,抓包没看到 https://servicewechat.com/ 域名,也没看到分数相关的参数
cfans1993
cfans1993
2018-01-01 10:24:48 +08:00
凌晨刷到 1400, 现在起床一看发现变成零分了
bravecoder
bravecoder
2018-01-01 10:26:54 +08:00
@cfans1993 每周成绩在周一会自动清零
ZE3kr
ZE3kr
2018-01-01 10:28:23 +08:00
bravecoder
bravecoder
2018-01-01 10:28:40 +08:00
@xqin 😅 纯娱乐,悠着点玩就好
codeeer
codeeer
2018-01-01 10:29:12 +08:00
@ZE3kr 什么 app
mringg
mringg
2018-01-01 10:31:46 +08:00
@qiayue。。。。。。
ZE3kr
ZE3kr
2018-01-01 10:40:33 +08:00
@codeeer surge
uglyer
uglyer
2018-01-01 10:41:03 +08:00
有没有人了解 里面图片的资源文件的图片是个什么编码的 ,想拿来做图像识别 哈哈哈哈哈哈。
sobigfish
sobigfish
2018-01-01 10:48:30 +08:00
看到这个就知道 AppID 和版本号了
Referer: https://servicewechat.com/wx(16 进制包括前面的"wx"字符)/(版本号)/page-frame.html
lwbjing
lwbjing
2018-01-01 11:09:16 +08:00
感谢楼主分享。。
alian
alian
2018-01-01 11:17:27 +08:00
屌炸天🌚,tx 没修复之前赶紧装逼一波
![]( )
xycool
2018-01-01 11:17:59 +08:00
@ZE3kr 请问现在还能抓包到吗?我这边用 surge 好像抓不到这个请求啊。
SingeeKing
2018-01-01 11:25:07 +08:00
@xycool 我这里 surge 正常
ghostxdy
2018-01-01 11:32:04 +08:00
这游戏完全被你们玩坏了
ZE3kr
2018-01-01 11:37:05 +08:00

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/419056

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX