文章总结： 文章通过虚构案例揭示小程序与Web端系统存在的认证逻辑漏洞：攻击者利用小程序注册免实名账号登录Web端，触发强制认证时系统跳转至未严格校验人脸的测试接口，仅凭姓名身份证即可绕过实名认证获得完整权限。关键发现包括系统接口不一致性、测试接口残留风险，建议企业统一认证流程并清理冗余接口。 综合评分： 81 文章分类： 漏洞分析,WEB安全,渗透测试,实战经验,安全开发

一次注册引发的”血案”

原创

xjizhi xjizhi

GG安全

2026年4月21日 08:52 天津

在小说阅读器读本章

去阅读

“大半夜，老王突然甩过来一张打满马赛克的小程序截图，神秘兮兮地说：’帮我看看这玩意儿是不是有后门？'”

第一章：小程序的秘密通道

我熟练地打开 Proxifier+Burp，给这个小程序做起了”体检”。

Proxifier配置小程序抓包

“看了一下请求数据包中的域名service.xxx.com，直觉告诉我，这后面肯定藏了不少东西…”

抱着试试看的心态，我直接在浏览器输入这个域名——”卧槽！居然跳出来一个完整的Web管理系统！”

第二章：左右互搏的系统

“最魔幻的是，用小程序注册的账号居然能直接登录Web端，但这系统显然精神分裂——Web端非要我实名认证，却又把我踢回小程序！”

为了搞清楚怎么回事，我开始测试：

1、先用小程序注册：手机号+密码 → 搞定，不用实名

2、再用相同账号登录web端 → 竟然成功了！

3、但在web端操作时 → 提示”请完成实名认证”

4、确认后 → 跳转到小程序一个奇怪的认证页面

“有意思…”我搓了搓手，”这小程序还是个’带路党’啊！”

第三章：接口的罗生门

“抓包发现更离谱的事：正常实名接口严格校验人脸，但这个跳转调用的居然是个测试接口！”

通过抓包发现了三个认证接口：

1、小程序普通实名接口 → 严格校验

2、web实名接口 → 同样严格

3、跳转的神秘接口 → 像是测试版，UI界面很简陋

关键是：

✅ 正常接口：前两个是同一个业务接口

🚫 测试接口：第三个是独立的”黑户口”

第四章：遗留的“后门”

测试发现神秘接口的存在业务逻辑漏洞：

正常接口：严格身份证+人脸

测试接口：只要姓名、身份证匹配就能过

但系统都会认为”已认证”

终章：完整的秘密通道

1️⃣ 小程序注册免实名账号

2️⃣ 登录Web获取低权限

3️⃣ 使用Web高权限功能触发强制认证跳转

4️⃣ 利用跳转小程序的测试接口绕过人脸

5️⃣ 获得系统完整权限

声明：本文所有故事情节均为虚构，漏洞第一时间上报，测试环境均为测试环境。技术是把双刃剑，切勿用于违法灰产！

1►

福利放送

再次声明：本公众号及其发布的内容的使用者需自行承担由此产生的任何直接或间接的后果和损失，GG安全公众号和原文章作者不承担任何责任。

欢迎加入我们的安全技术交流群

edusrc邀请码 | 无问AI 积分兑换码

    免费不限量提供edusrc邀请码及玄机邀请码，可在的菜单栏资源获取-edusrc邀请码 | 无问AI 积分兑换码中获取。

无问AI 积分兑换

2►

往期精彩

![](https://mmbiz.qpic.cn/mmbiz_gif/AFgdiaw95AaNY572lpficoa3l1cVE17VfZ4WDWhcMYWJbibW3UvQP4H2Izrsic6ZSlqnw3DtMzjzJHvuhGJ2V6CF2A/640?wx_fmt=gif&wxfrom=5&wx_lazy=1&retryload=1&randomid=tfibc7o0&tp=wxpic#imgIndex=24)

edusrc高校证书测评

绝版乌云重现：在VM中复活的安全宝藏！

钓鱼佬永不空军！！看我如何社g搞定学姐继而接管站点全部权限

捡洞！有手就行的信息泄露

没手都行，小程序纯自动化捡洞工具

护网在即，自动化"一键"钓鱼工具

Wifi Pineapple（大菠萝）无线攻击

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：GG安全 xjizhi xjizhi《一次注册引发的”血案”》