最近研究‘微信小程序’底层代码,发现漏洞,获取一部分私有 api

2021-08-23 10:11:51 +08:00
 bimbaloo

最近研究微信小程序底层代码,发现漏洞,获取一部分私有 api


微信小程序黑科技,有兴趣可以,搜巧思天气助手,流程语 tab,顶部点搜索“这 666666”,再点击这 666666 的搜索结果,体验。

大概有以下几个常用的实用的:

  • 打开地图选择位置,不需要定位权限
  • 获取公共库版本
  • 重新进入小程序
  • 小程序账号信息
  • 隐藏右上角胶囊
  • 显示 /隐藏状态栏
  • 显示 /隐藏虚拟的底部导航栏
  • 关闭小程序
  • 打开网页
  • 静默复制
  • 静默跳到其他小程序
  • 关注公众号
  • 打开公众号
  • 页面主动拉起分享朋友圈,支持 ios
  • 页面主动拉起分享好友 /群,支持同一页面分享不同内容,获取分享成功失败状态
  • 页面主动收藏小程序,支持 ios
  • 页面主动切换竖横屏 landscape/portrait

最后问下,大家觉得这些 api 有什么用呢?

5635 次点击
所在节点    微信
35 条回复
JetMac
2021-08-23 10:20:52 +08:00
点了完全没反应
NPC666
2021-08-23 10:21:54 +08:00
我先来,张小聋死🐴
GOKOG
2021-08-23 10:25:19 +08:00
点了 [666666 的搜索结果] 没有反应
myd
2021-08-23 10:27:20 +08:00
api 列表点了完全没反应
mclxly
2021-08-23 10:30:35 +08:00
官方随时出布丁,折腾不出啥
fffang
2021-08-23 10:33:55 +08:00
小程序也没开源,咋研究的?
bimbaloo
2021-08-23 10:34:23 +08:00
@GOKOG 是 这 666666 不是 666666
bimbaloo
2021-08-23 10:36:37 +08:00
@fffang 微信开发工具代码报错时可以拿到底层的源码
w88975
2021-08-23 10:38:41 +08:00
我怀疑你在给自己的小程序引流, 没有一个 API 是有用的
baoei
2021-08-23 10:40:34 +08:00
是已被修复了么? 没一个生效的
abcbuzhiming
2021-08-23 10:44:37 +08:00
没啥意义,你研究出来又咋样?一个版本更新就可以让你全失效,而且你未经别人同意调别人的接口,腾讯这种级别的企业反手一个非法入侵控制计算机系统罪就可以让你吃不了兜着走。玩这种的都是灰产性质,要么就不公开,公开的很快就会失效
cydysm
2021-08-23 10:44:52 +08:00
没有有用的 想举报小程序了
4ark
2021-08-23 10:45:31 +08:00
引流...
mxT52CRuqR6o5
2021-08-23 10:46:12 +08:00
@w88975 没一个能用的+1
就算你真能调用,微信小程序又不是不审核可以直接上架的
RiESA
2021-08-23 10:46:16 +08:00
南山法院见
GOKOG
2021-08-23 10:47:22 +08:00
试了一下,大部分的确可以 ios
GOKOG
2021-08-23 10:50:34 +08:00
@mxT52CRuqR6o5 我试了一下大部分的确可以啊。ios 设备,小程序审核也有疏漏的情况
GOKOG
2021-08-23 10:53:40 +08:00
@bimbaloo 很 nice ~。如果老哥愿意分享一下的话就更棒了 😄
mxT52CRuqR6o5
2021-08-23 11:13:32 +08:00
@GOKOG 这种私自调用机器直接能识别出来,根本轮到人去用眼睛看
GOKOG
2021-08-23 11:22:51 +08:00
@mxT52CRuqR6o5 但是楼主的小程序确确实实通过审核了啊,而且刚才在我 ios 设备上大部分功能都可以使用

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/797401

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX