文章总结： 本文记录了一次小程序渗透测试过程，作者手工测试发现大量三要素及敏感数据泄露，强调手工渗透在自动化工具失效时仍有效，建议加强小程序接口安全防护。 综合评分： 75 文章分类： 渗透测试,WEB安全,实战经验,数据泄露

记一次小程序渗透

原创

flowersboy flowersboy

hutututu

2026年8月17日 16:49 陕西

在小说阅读器读本章

去阅读

本来想用最近发布的小程序AI渗透试试水呢->https://github.com/hello-xiaoniao/WMP-pentest-automation

但是主包没有vx小号，继续手工吧

打开站点是一个简洁的vue界面

image-20260817163639626

随便点几个功能点看bp参数

传参->置空、null、*、%都没信息返回意外信息

一个功能点置空可以获取最近时间进场的一个车牌号，拿这个车牌号试了其他接口都没意外信息，这不行，没啥成果，继续干

image-20260817164235543

反编译提取URL

image-20260817164425621

让AI把删除，更新，增加等破坏数据接口过滤掉

image-20260817164130713

古法手工构造参数，get、post跑一波接口

大量三要素+敏感数据

美美下班

image-20260817164316870

image-20260817164525120

欢迎加入主包交流群

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：hutututu flowersboy flowersboy《记一次小程序渗透》