前言

圈友的点，拿来学习一手，挖掘过程遇到了很多问题，通过交流也学习到了，很多之前不太了解的内容，交流是个好东西。

信息收集

直接搜索学校的名字，会看到很多学校相关的小程序，我们来到红色箭头这个小程序这里，这个就是本次的挖掘目标

![图片](/media/202607/077e6c440fd34c8c822120521c5da47e5997.png)

edusrc挖掘的话，小程序信息收集，直接丢学校名字在搜一搜里面，

搜到公众号打公众号，有小程序打小程序就行，非常适合，天天感觉

自己找不到边缘资产的师傅，直接跳过信息收集，挖就完了。

漏洞测试

点击小程序进行

查看，发现有很多功能，但是都是需要登录的

![图片](/media/202607/f2224aa7efab498298c3eaf2829d45638701.png)

我们点击登录

![图片](/media/202607/a210c4113e0d4cb1ab1fa8a9d684e3ab2438.png)

在点击获取手机号登录，看到了这

![图片](/media/202607/c71ecacf44c248e58e03487628c681f26900.png)

一般看到这个，经常打小程序的师傅

点击允许拦截burp数据包，可以看到存在这三个参数

![图片](/media/202607/006681f2da4e491b8cd9243864cb2ae64787.png)

## 微信小程序 session\_key 泄露导致任意用户登录漏洞分析

### 1\. 漏洞概述

该漏洞属于**身份认证绕过**类型。当微信小程序的 `session_key`、`encryptedData`、`iv` 三个参数同时被攻击者获取时，攻击者可通过解密、篡改、重加密的方式，伪造任意用户的授权数据，从而实现**无需密码的任意用户登录**。

1.1 漏洞标识

项目

内容

漏洞类型

身份认证绕过 / 会话劫持

威胁等级

高危

利用条件

三个参数同时泄露

影响范围

存在参数泄露的小程序及其用户

* * *

## 2\. 核心概念解释

参数

含义

正常存储位置

`encryptedData`

微信返回的用户信息密文（如手机号、昵称）

客户端临时持有，提交后端解密

`iv`

加密算法所需的初始向量

随 `encryptedData` 一同提交

`session_key`

会话密钥，用于解密 `encryptedData`

**仅限后端存储，严禁返回客户端**

`openId`

用户在特定小程序中的唯一标识

后端存储

* * *

## 3\. 攻击原理

### 3.1 正常登录流程（标准设计）

用户客户端微信服务器小程序后端1\. wx.login() 获取 code2\. 传递 code3\. code + appid + secret4\. 返回 session\_key + openid5\. 存储 session\_key（不返回客户端）6\. 用户授权（手机号/个人信息）7\. 返回 encryptedData + iv8\. 提交 encryptedData + iv9\. 使用本地 session\_key 解密10\. 返回登录凭证 (token)用户客户端微信服务器小程序后端

这里我们直接使用工具加泄露的iv和key对进行encrypdata解密，发现不太行

![图片](/media/202607/f298299a1f8a4017bad5a34cdc345df32577.png)

对key和iv进行解url码

https://www.toolhelper.cn/EncodeDecode/Url

![图片](/media/202607/c8ecd75a3526415b858d66451d21fb453217.png)

发现再次解密显示这个，这里就到我的知识盲区了，这个时候

圈友告诉我这这两个值长度不对，是通过加密或者其他方式进行后期处理的

![图片](/media/202607/9b44048cdcc944628084fc7455d60c232197.png)

## 知识点

根据微信小程序官方文档及 AES-CBC 加密标准，`session_key` 与 `iv` 的长度规范如下：

参数

编码格式

编码后长度（Base64）

解码后长度（二进制）

算法要求

`session_key`

Base64

24 字符

**16 字节（128位）**

AES-128-CBC 密钥

`iv`

Base64

24 字符

**16 字节（128位）**

AES-CBC 块大小

### 2\. 技术说明

#### 2.1 session\_key

`session_key` 是微信服务器返回的会话密钥，用于解密 `encryptedData`。其技术规格如下：

*   **算法**：AES-128-CBC
    
*   **密钥长度**：128 位（16 字节）
    
*   **传输编码**：Base64
    
*   **编码后长度**：固定为 24 个字符

> **官方定义**：微信官方文档明确指出 `aeskey = Base64_Decode(session_key)` 的结果为 **16 字节** 的二进制数据。任何非此长度的实现均不符合规范，将导致解密失败。

#### 2.2 iv

`iv`（Initialization Vector，初始向量）是 AES-CBC 模式下的必需参数，用于增加密文的随机性。其技术规格如下：

*   **算法**：AES-CBC
    
*   **块大小**：128 位（16 字节）
    
*   **传输编码**：Base64
    
*   **编码后长度**：固定为 24 个字符

> **官方定义**：`iv` 的解码结果必须为 **16 字节**，否则解密接口将返回 `IV not 16 bytes long` 错误

这里显然不符合

我们直接对小程序进行反编译

这里我使用无影

![图片](/media/202607/2bc52d26c5894d1e93573faf8ce3a66f5508.png)

反编译后，来到源码的文件夹，打开claude，让他来分析

（之前听过一节某大师傅挖掘银行众测的课有个漏洞就是这个，但是他是通过手写脚本手动分析逻辑进行加解密的，ai出来之后迅速拉进了我们和大佬打差距）

![图片](/media/202607/943e5151d808418b989bb8184843617f5814.png)

![图片](/media/202607/f77341afcf3142c6b50987cd7671c2622661.png)

![图片](/media/202607/7a53cbebe9f042269add5f466ad5c0f39131.png)

这里可以看到，这两个值确实是经过二次处理的，逻辑已经很清楚了

这个时候我们就已经可以给他手机号让他重新加密然后任意用户登录了

但是需要考虑考虑扩大危害

反编译之后这里泄露了两个手机号

![图片](/media/202607/78c580456b7e43ef869d4b202335b0b66617.png)

对这两个手机号进行登录尝试，结果真有一个是有管理权限的

让ai对这个手机号逆向加密回去

![图片](/media/202607/2dd6e6c425a04007943cbc39d88220653908.png)

我们直接复制加密后的内容来到登录处进行替换

![图片](/media/202607/bb78fd849ca145bf86c0b5372bb707b24313.png)

然后放包，直接进入小管理员的后台

![图片](/media/202607/ea0c03088f574e77beaf56d7c85d93d62864.png)

![图片](/media/202607/863968a046d443938a76e32222c2021b7062.png)

这里继续扩大危害

![图片](/media/202607/6645610aab2841e48aa35faf106252fd9839.png)

点击公寓管理

![图片](/media/202607/53efbd2ab98f4015a24ab9b8d323f7331574.png)

点击学生搜索抓包

![图片](/media/202607/a2b42b1e8fc84b659a9fb84fd3c2e3974338.png)

可以看到手机号

这里我们可以通过控制这两个参数

![图片](/media/202607/dd5a69f64d0d4dd9a8961cacfc50641b1601.png)

对学校3w条学生的手机号进行查看，从而造成3w用户的账号接管

继续查看

![图片](/media/202607/07f56b65df704a1fa36f73ceb6e3715c8489.png)

点击，具体信息进行抓包，可以看到更详细的信息

![图片](/media/202607/b4df68d6080e489293143049a720c9084570.png)

![图片](/media/202607/03ff511502cf424cb4e9bc525031e40c7869.png)

这里依然看不到敏感信息，但是这是一种很常见的情况，后端返回很多信息，但是前端渲染一部分

我们抓包查看

![图片](/media/202607/05ffd51fc5ae4bcb9a2ffd90d8de616f1467.png)

直接泄露了sfz，也就是说，通过这个能获取，全校3w多条sfz信息，危害加一。

AI+小程序任意登录漏洞