文章总结： 微信小程序登录接口存在sessionkey泄露漏洞，攻击者通过抓包获取密文、iv和sessionkey后，可解密手机号并修改为任意号码，实现任意用户登录。建议服务端加强session_key保护，避免在响应中泄露。 综合评分： 67 文章分类： 漏洞分析,实战经验,WEB安全,安全工具

微信小程序存在任意用户登陆

zkaq- 郑居中 zkaq- 郑居中

掌控安全EDU

2026年8月20日 14:07 江西

在小说阅读器读本章

去阅读

扫码领资料

获网安教程

本文由掌控安全学院 – 马小芳  投稿

来Track安全社区投稿~

千元稿费！还有保底奖励~（https://bbs.zkaq.cn）

微信小程序存在任意用户登陆

在登录小程序时，都会遇到是否一键登录或或授权，方便用户的登录，但是在方便的同时也意味着存在一些可利用的漏洞
漏洞成因：泄露session_key的值

复现步骤

1. 在登陆时，弹出这个页面时

   

2. 抓包，观察数据包的内容

   

   会发现有mobile值（密文）和iv值（随机数），拿到密文，肯定时想到解密，想要解密就必须知道密文，iv，session_key，这三个缺一不可，得到两个了，想办法得到第三个session_key

3. 仔细观察数据包的回显，在下一个数据包的回显中，拿到session_key。

   

4. 使用工具微信一键登录解密，即可得到明文信息

   

5. 将明文中的手机号修改为其他的手机号，再进行加密，替换以前的密文，即可实现任意用户登录

注意：iv值是随机的，每次必须重新抓包，工具我放在附件了

申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，

所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.

没看够~？欢迎关注！

分享本文到朋友圈，可以凭截图找老师领取

上千教程+工具+交流群+靶场账号哦

分享后扫码加我！

回顾往期内容

零基础学黑客，该怎么学？

网络安全人员必考的几本证书！

文库｜内网神器cs4.0使用说明书

记某地级市护网的攻防演练行动

手把手教你CNVD漏洞挖掘 + 资产收集

【精选】SRC快速入门+上分小秘籍+实战指南

代理池工具撰写 | 只有无尽的跳转，没有封禁的IP！

点赞+在看支持一下吧~感谢看官老爷~

你的点赞是我更新的动力

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：掌控安全EDU zkaq- 郑居中 zkaq- 郑居中《微信小程序存在任意用户登陆》