V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
bimbaloo
V2EX  ›  微信

最近研究‘微信小程序’底层代码,发现漏洞,获取一部分私有 api

  •  
  •   bimbaloo · 2021-08-23 10:11:51 +08:00 · 5306 次点击
    这是一个创建于 948 天前的主题,其中的信息可能已经有所发展或是发生改变。

    最近研究微信小程序底层代码,发现漏洞,获取一部分私有 api


    微信小程序黑科技,有兴趣可以,搜巧思天气助手,流程语 tab,顶部点搜索“这 666666”,再点击这 666666 的搜索结果,体验。

    大概有以下几个常用的实用的:

    • 打开地图选择位置,不需要定位权限
    • 获取公共库版本
    • 重新进入小程序
    • 小程序账号信息
    • 隐藏右上角胶囊
    • 显示 /隐藏状态栏
    • 显示 /隐藏虚拟的底部导航栏
    • 关闭小程序
    • 打开网页
    • 静默复制
    • 静默跳到其他小程序
    • 关注公众号
    • 打开公众号
    • 页面主动拉起分享朋友圈,支持 ios
    • 页面主动拉起分享好友 /群,支持同一页面分享不同内容,获取分享成功失败状态
    • 页面主动收藏小程序,支持 ios
    • 页面主动切换竖横屏 landscape/portrait

    图 图

    最后问下,大家觉得这些 api 有什么用呢?

    第 1 条附言  ·  2021-10-09 18:32:53 +08:00
    微信有部分基础库已修复该漏洞
    JetMac
        1
    JetMac  
       2021-08-23 10:20:52 +08:00
    点了完全没反应
    NPC666
        2
    NPC666  
       2021-08-23 10:21:54 +08:00 via Android   ❤️ 12
    我先来,张小聋死🐴
    GOKOG
        3
    GOKOG  
       2021-08-23 10:25:19 +08:00
    点了 [666666 的搜索结果] 没有反应
    myd
        4
    myd  
       2021-08-23 10:27:20 +08:00
    api 列表点了完全没反应
    mclxly
        5
    mclxly  
       2021-08-23 10:30:35 +08:00
    官方随时出布丁,折腾不出啥
    fffang
        6
    fffang  
       2021-08-23 10:33:55 +08:00
    小程序也没开源,咋研究的?
    bimbaloo
        7
    bimbaloo  
    OP
       2021-08-23 10:34:23 +08:00
    @GOKOG 是 这 666666 不是 666666
    bimbaloo
        8
    bimbaloo  
    OP
       2021-08-23 10:36:37 +08:00
    @fffang 微信开发工具代码报错时可以拿到底层的源码
    w88975
        9
    w88975  
       2021-08-23 10:38:41 +08:00
    我怀疑你在给自己的小程序引流, 没有一个 API 是有用的
    baoei
        10
    baoei  
       2021-08-23 10:40:34 +08:00
    是已被修复了么? 没一个生效的
    abcbuzhiming
        11
    abcbuzhiming  
       2021-08-23 10:44:37 +08:00
    没啥意义,你研究出来又咋样?一个版本更新就可以让你全失效,而且你未经别人同意调别人的接口,腾讯这种级别的企业反手一个非法入侵控制计算机系统罪就可以让你吃不了兜着走。玩这种的都是灰产性质,要么就不公开,公开的很快就会失效
    cydysm
        12
    cydysm  
       2021-08-23 10:44:52 +08:00
    没有有用的 想举报小程序了
    4ark
        13
    4ark  
       2021-08-23 10:45:31 +08:00
    引流...
    mxT52CRuqR6o5
        14
    mxT52CRuqR6o5  
       2021-08-23 10:46:12 +08:00
    @w88975 没一个能用的+1
    就算你真能调用,微信小程序又不是不审核可以直接上架的
    RiESA
        15
    RiESA  
       2021-08-23 10:46:16 +08:00
    南山法院见
    GOKOG
        16
    GOKOG  
       2021-08-23 10:47:22 +08:00
    试了一下,大部分的确可以 ios
    GOKOG
        17
    GOKOG  
       2021-08-23 10:50:34 +08:00
    @mxT52CRuqR6o5 我试了一下大部分的确可以啊。ios 设备,小程序审核也有疏漏的情况
    GOKOG
        18
    GOKOG  
       2021-08-23 10:53:40 +08:00
    @bimbaloo 很 nice ~。如果老哥愿意分享一下的话就更棒了 😄
    mxT52CRuqR6o5
        19
    mxT52CRuqR6o5  
       2021-08-23 11:13:32 +08:00
    @GOKOG 这种私自调用机器直接能识别出来,根本轮到人去用眼睛看
    GOKOG
        20
    GOKOG  
       2021-08-23 11:22:51 +08:00
    @mxT52CRuqR6o5 但是楼主的小程序确确实实通过审核了啊,而且刚才在我 ios 设备上大部分功能都可以使用
    mxT52CRuqR6o5
        21
    mxT52CRuqR6o5  
       2021-08-23 11:24:16 +08:00
    @GOKOG
    我的意思是指腾讯现在没做不代表做不到
    hushao
        22
    hushao  
       2021-08-23 11:24:28 +08:00
    小龙警告⚠️、南山必胜客正在赶来~
    justrand
        23
    justrand  
       2021-08-23 11:26:40 +08:00
    安卓没有一个有效
    fengdechoulian
        24
    fengdechoulian  
       2021-08-23 11:26:52 +08:00
    安卓没反应
    GOKOG
        25
    GOKOG  
       2021-08-23 11:30:10 +08:00
    @mxT52CRuqR6o5 噢噢,是的。如果入口没有这么隐蔽可能审核就会被拒了
    alogbycat
        26
    alogbycat  
       2021-08-23 11:52:18 +08:00
    iOS 全都没反应... 8.23 11:52
    xmmmm
        27
    xmmmm  
       2021-08-23 11:54:44 +08:00
    iOS 没反应
    anzu
        28
    anzu  
       2021-08-23 11:56:53 +08:00
    打开网页和公众号不是公开的 API 吗
    youyang
        29
    youyang  
       2021-08-23 13:16:34 +08:00
    有可能是推广软文
    rocy
        30
    rocy  
       2021-08-23 13:19:48 +08:00
    列表可以出来 但点击任何一个都没反应,ios 和安卓都是
    manmuy
        31
    manmuy  
       2021-08-23 14:00:07 +08:00
    测试安卓端可以 ios 报错 这些接口确实挺有用的
    打开
    分享
    静默
    这几个每一个都能实现一些骚操作了
    netwjx
        32
    netwjx  
       2021-08-23 14:46:48 +08:00
    本来就有很多 api, 没写到文档中

    有些用处, 但对于常规应用没卵用, 还不一定全兼容
    RyanOne
        33
    RyanOne  
       2021-08-23 15:06:38 +08:00
    iOS15 Beta6 版本 8.0.10 所有插件列表点击 都没有反应 ,倒是 电脑版 ,点击还能有几个能用
    oIMOo
        34
    oIMOo  
       2021-08-23 22:15:19 +08:00
    iOS 14.7.1 + 微信 8.0.12 全部不能用
    macOS 10.15.7 + 微信 3.1.5 (18851) 至少以下几项可以:关闭小程序、打开网页、静默跳到其他小程序、页面主动拉起分享好友 /群可以使用
    bimbaloo
        35
    bimbaloo  
    OP
       2021-09-06 15:31:39 +08:00
    拼夕夕也用了许多官方文档没公开的 api
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   1909 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 26ms · UTC 16:25 · PVG 00:25 · LAX 09:25 · JFK 12:25
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.