记一次小程序渗透

原创

flowersboy
flowersboy

hutututu

2026年8月17日 16:49
陕西

在小说阅读器读本章

去阅读

本来想用最近发布的小程序AI渗透试试水呢->https://github.com/hello-xiaoniao/WMP-pentest-automation

但是主包没有vx小号，继续手工吧

打开站点是一个简洁的vue界面

image-20260817163639626

随便点几个功能点看bp参数

传参->置空、null、\*、%都没信息返回意外信息

一个功能点置空可以获取最近时间进场的一个车牌号，拿这个车牌号试了其他接口都没意外信息，这不行，没啥成果，继续干

image-20260817164235543

反编译提取URL

image-20260817164425621

让AI把删除，更新，增加等破坏数据接口过滤掉

image-20260817164130713

古法手工构造参数，get、post跑一波接口

大量三要素+敏感数据

美美下班

image-20260817164316870

image-20260817164525120

欢迎加入主包交流群