文章总结： 本文总结了首次安全闭门交流会，涵盖Electron邮箱客户端信息窃取、SPF配置风险、云存储桶枚举工具开发、小程序越权漏洞、DedeCMS远程命令执行0day及小程序加解密技术等议题。旨在建立良性的技术分享生态，参会者反馈积极，后续将定期举办。 综合评分： 78 文章分类： 漏洞分析,WEB安全,实战经验,云安全,逆向分析

第一次交流会会后总结

秋风

秋风的安全之路

2025年10月7日 22:28 北京

交流会：本着人人为我我为人人的思考出发，让每一个师傅都尽可能的相互学到更多的知识，包括但不限于src，红队，ai等方面开展分享，尽量不以ppt的形式呈现，，会议不设置旁听席位！为闭门会议，听会者(包括我本人)均需自备议题/分享 并审核，并暂定隔一段时间就开一场

我的出发点也只是想把这个氛围带动起来，每个人闭门造车都很难受，因为很多师傅不确定或者确定自己的分享议题可能会比较简陋，所以我不把他叫做什么沙龙之类的，鼓励各种议题分享，只要是可能会有价值的思考都值得被展现出来

尝试带动一些刚入门的师傅突破自己来分享议题并学习，实现类似吐司论坛那样子的良性循环

时间2025年10月7日 整体交流时间2H

会议议题：

某某邮箱客户端日掉收件人-秋风

邮箱安全之SPF配置不当的安全风险 –清凉禹

二开存储桶枚举工具java2s3  自动化刷到三本edu证书 –云泊

小程序到web，快速测出越权–大概

DedeCMS V5.7.117及以下版本命令执行–纸豪   （0day首次公开）

jsrpc+yakit热加载微信小程序加解密 –差不多的张三

参与过的师傅可以无条件参加后续的交流会

非常感谢以上的师傅愿意无私的分享，共同探索良好的技术分享交流生态

AI会议总结(内容不准确 只作为留存使用)：

1. 客户端安全：某某邮箱客户端信息泄露

• 客户端基于Electron框架，内嵌两个Chrome实例分别用于文件预览和邮件源代码编辑。

• 通过在外联文件中注入object标签和about:blank页面，成功探查到客户端泄露的敏感信息，包括用户Token、个人信息、鉴权记录等。

• 尝试多种远程利用方案（如自定义协议、恶意附件）均未成功，最终通过Image标签onerror事件配合URL编码绕过长度及斜杠截断限制，实现信息窃取。

1. 邮箱安全：SPF配置不当的风险

• SPF（Sender Policy Framework）是DNS记录，用于验证发件人IP地址是否被授权，防止邮件伪造。

• 当SPF记录缺失、配置错误（如使用软失败、授权范围过宽）或语法不规范时，成为邮件钓鱼攻击的有效突破口。

• 实践中发现部分企业邮箱未严格校验SPF验证状态，恶意使用配置不当的域名可成功发送伪造邮件。

• 附：SPF记录可提供临时MTA（邮件服务器）服务，可用于邮箱验证或渗透测试。

1. 云存储桶枚举

• 使用改造的Java脚本工具，自动化枚举国内各大服务商（如阿里云、腾讯云等）的COS/Bos兼容存储桶。

• 通过对高校、研究院等网站的服务端JS代码进行遍历分析，探测到存储桶权限异常（如put访问），并利用此漏洞上传恶意文件。

1. 小程序安全：Token越权访问

• 发现小程序”手机号快捷登录”功能获取的认证Token，在Web管理后台无有效权限限制。

• 攻击者可利用盗取的Token，通过Google API搜索到后端系统接口，通过替换响应包实现直接登录后台，进而批量测试越权权限。

1. Web应用安全：织梦DedeCMS命令执行漏洞

• 分析DedeCMS 5.7.x版本安全漏洞，根源在于xxxxxxxxxxxxxxx。

• 漏洞指出：xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

• 另一种方法xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx最终实现远程命令执行。

1. 小程序安全：动态与静态代码解密

• 动态调试：在微信小程序运行过程中，通过调试日志定位解密流程。将动态生成的密钥写死，再通过GSRPC+压测工具，将加密后的请求体（JSON数据包）解密为明文，实现对请求参数的实时修改和重放。

• 静态分析：针对VMProtect混淆器的静态保护机制，通过分析其加密库（xmp.dll），提取固定的Secret Key与IV，成功解密请求中的AES加密数据，并绕过签名验证逻辑，实现在不运行程序的情况下破解加密请求。

各位师傅的点评体验如下：

会后分享:

第二次交流会时间暂定 投稿师傅会提前一周时间通知时间

qq群号：1057723201 如有意愿请联系群主

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：秋风的安全之路 秋风《第一次交流会会后总结》