微信小程序漏洞：可下载任意微信小游戏源代码

本文转载自【小专栏平台】公众号，由独立开发者朱鹏飞投稿。如果大家想要微信跳一跳小游戏以及其他十几个小游戏源码，大家可以关注【小专栏平台】公众号，回复“微信小游戏”即可获取到。

截止原作者目前推送文章的时候（ 2018年1月1日23:50分），微信官方已经修复了这个漏洞，但是我感觉文章还是可以分享出来给诸位开发者，安全问题真的不容忽视呢。

另外说两点：

1、据说有些老版本的微信还是可以抓包获取包地址；

2、如果你喜欢小程序并且是小程序的开发者，可以关注我的github资源：https://github.com/justjavac/awesome-wechat-weapp 点击文章末尾的阅读原文可以访问

一、发现

一大早起来刷 V2EX，看到一个帖子《微信跳一跳可以直接更改分数， POST 请求没有校验…》 https://www.v2ex.com/t/419056 好奇点进去看了。

发现不但跳一跳小游戏可以直接改分数，甚至连微信小程序、小游戏的源代码都可以直接下载，只需要知道 appid 和版本号，就可以直接构造 URL 下载后缀为 wxapkg 的源码包，不需要任何验证。

虽然下载来的源码包是加密的，但是解密方法已经被 V2EXer 发现，并且写了一个解密的 Python 脚本，运行即可把源码包解开为文件夹。

二、重现

第一步，我先试着用帖子作者拼接好的跳一跳源码包地址测试，发现能够下载，不需要任何验证，只需要知道这个地址，直接任意浏览器或者下载工具打开都可以下载。

第二步，再用帖子中的解包 Python 脚本把源码包解压成源代码。

第三步，在本地微信开发者工具中新建一个空白的小程序或小游戏的项目，不要选择快速启动模板。

第四步、把刚才解压出来的源代码复制到刚刚创建的项目目录中，开发者工具会提示编译出错，这个只需要新建一个game.json文件即可。

文件内容不能为空，写一对大括号进去，或者加上deviceOrientation的配置，这句话的意思是游戏竖屏玩。

保存后你发现游戏还是编译不通过，还需要修改最后一项，点击开发者工具右上角详情按钮，把调试基础库改成game。

好了，运行起来了：

如果有同学对微信官方的小游戏源码感兴趣，想要研究学习，那么可以在本微信公众号回复“微信小游戏”，在确保不违法情况下，我可以发给你用于研究学习。

微信小程序漏洞：可下载任意微信小游戏源代码相关推荐

智力考验看成语猜古诗句微信小程序源码下载好玩解闷小游戏
这是一款猜诗句的一款小程序,特别考脑力里面拥有低,中,高三种难度用户通过猜所提供的成语,然后猜出是哪句古诗当然啦下方也是会有小小提示的,比如古诗作者名字或者古诗的名字,或者第一个字是什么等等 ...
神秘空投/小空投网站源码，小空投小程序源码下载，空投小程序源码下载制作介绍
------------------- 程序特色 ---------------------- 发送空投:支持发送文字.图片.语音.视频等多种类型的空投接收空投:用户在输入对应的空投后,可以查看到空 ...
小程序源码：宝宝起名神器微信小程序源码下载-多玩法安装简单
这款小程序支持输入姓氏自动起名,不满意还可以点击换一换来找到满意的支持起两个字或者三个字的名字另外小编也给该款小程序添加了几个流量给大家下面就来看看小编的测试演示图吧! 小程序源码下载地址:小程 ...
小程序源码：AI微信小程序源码下载人脸照片AI转换动漫照片全新源码安装简单无需服务器域名-多玩法安装简单
这是一款AI人脸转动漫的一款微信小程序源码该款小程序源码无需服务器和域名搭建安装简单有多种风格转换模式可自选安装教程: 首先解压源码然后把源码上传到微信开发者工具打开另外设置一个合法域名合 ...
微信小程序：开心锤锤超火动态表情包微信小程序源码下载自动采集
这是一款表情包小程序源码大家刷抖音的时候应该都刷过开心锤锤这个网红卡通短视频吧现在这一款小程序就是和它有关的里面的表情包呢大部分都是动态表情包(斗图的时候是不是更炫) 至于里面的表情包人物的就都 ...
小程序源码：端午送粽子祝福微信小程序源码下载支持打赏模式带背景音乐
端午节的时候很火的一款小程序给亲朋好友送祝福也是一款引流非常不错的一款小程序支持打赏小程序模式实现盈利模式当然了,有能力的小伙伴也可以魔改一下做成别的小程序也是可以的该小程序无需服务器和域名, ...
小程序源码：仿各大APP种树微信小程序源码下载-简单快速上手
这是一款仿各大APP的种树获取水果的一款微信小程序可以对树浇水,杀虫,修剪等等另外还有夺宝,更多小程序推荐支持流量主模式等等可以进行邀请好友加快树木的成长速度小程序源码下载地址: 小程序源码 ...
小程序源码：求职招聘微信小程序源码下载v4.1.78
1.多城市招聘平台2.职位版块 3.人才版块 4.招聘会(支持企业在线报名参加招聘会) 5.职场资讯6.企业登录(在手机端可操作企业信息编辑.发布职位.查收简历.通知面试) 7.企业VIP套餐购买功能 ...
小程序源码：网课查题微信小程序源码下载,题库资源丰富自动采集，支持语音拍照识别
这是一款网课查题微信小程序源码题库资源丰富自动采集, 支持语音拍照识别该款采用接口方式,所以题库自动全网采集而且该款小程序无需服务器和域名即可搭建大家解压源码然后使用微信开发者工具打开源码然 ...
小程序源码：朋友圈集赞万能截图生成器微信小程序源码下载
大家好这是一款朋友圈积攒截图小程序里面内涵三款样式生成,一款图文,一款分享,一款查看的样式也就是我们微信朋友圈所用到的样式就包含了里面的流量主那些可以用户自由的添加哈! 赞的数量那些可以用户自 ...

微信小程序漏洞：可下载任意微信小游戏源代码

微信小程序漏洞：可下载任意微信小游戏源代码相关推荐

最新文章

热门文章