微信小程序中登录 code 可以“伪造”？

[Snailzzz]

昨天晚上 21 点 34 分左右，服务器涌入大量请求，这些请求的 UA 完全一致

  'user-agent' => 'Mozilla/5.0 (Linux; Android 6.0.1; C106 Build/ZAXCNFN5902606201S; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/57.0.2987.132 MQQBrowser/6.2 TBS/044304 Mobile Safari/537.36 MicroMessenger/6.6.7.1321(0x26060739) NetType/WIFI Language/zh_CN'

很奇怪，主要有一下几点疑问

• 这些接口调用微信小程序内部的 login 方法得到了 Code，通过 Code 可以在微信 API 接口中获取到 OpenID，没有发生错误。
• 上条是否可以判定这些 Code 就是正确的 Code?
• 如果可以判定这些 Code 是正确的 Code，在一分钟内发送了大概 1w+的 Code 并且获取到了 OpenID，但这些所有的请求的 UA 完全一致，并且使用了‘ x-forwarded-for ’伪造了 IP。

以我的猜测，这些 Code 确实是正确的 Code，但是可能是从 Q 控 /X 议里面批量得到的，然后某些人收购 Code，通过这些 Code 批量请求

目前的解决方案，增加用户授权的操作，通过微信的 wx.getUserInfo 方法中 encryptedData 返回值判断。

这种方法增加了用户的操作，整体流程繁琐了，不知道大家有没有什么好的解决办法。

[johz]

很正常，微信官方爬虫

[hnch201414]

加个验证码的操作吧~

[dove1011]

可能是微信官方爬虫

[Felldeadbird]

按楼主的说法，code 都验证过，UA 一致。应该是被羊毛党盯上了吧。 试下统计 UA，短时间统一台 UA 要求机器人识别。

[Lax]

既然是小程序，UA 全都是微信浏览器不是挺正常的吗？

[z0ne]

检查一下你的小程序调用的第三方 sdk 或者库的安全性。。

目前我的 sdk 都是放 github 上开源的，就是为了让开发者用的安心。 有的黑心 sdk 还是压缩混淆加密的，就是为了暗地里做些勾当。。

比如楼主这种情况，如果是第三方库，可以随时获取服务端的命令（获取 code ）然后发送回服务端，这样对方就有了大量的 code~~

[Snailzzz]

@z0ne 这个不太可能 这些请求的最终得到的 OpenID 都是新的

[z0ne]

@Snailzzz 这就奇怪了，莫非是算法被逆向了 😂 保持关注

[php01]

我怀疑你的的 code 或者 openid 下发到客户端了。又或者是员工测试暴露了，或者是数据库已经被人拿了

[Snailzzz]

@php01 这种低级的错误不可能的，已经报告官方了，他们回复的是安全相关的同学在排查了

[AbrahamGreyson]

@Snailzzz 后续怎么样了，十分关注这件事，最终是如何防刷的。

[Snailzzz]

@AbrahamGreyson 最终我们加上了授权登录 可以验证一下 官方态度一直很消极 最终也没有提出解决办法

[mrvv]

找到原因了吗，我很想知道伪造 code 是否存在

[Snailzzz]

@mrvv 确实是存在的 应该是反编译出微信的 xy 或者通过 hook 实现的

[mrvv]

那你知不知道 code 产生的请求方法，按理说一个真实的微信才会产生一个真实的 code 啊