解密微信小程序漏洞：可下载任意小游戏源代码，“跳一跳”可改分|源代码|恶意代码|解密_新浪科技_新浪网
解密微信小程序漏洞：可下载任意小游戏源代码，“跳一跳”可改分
解密微信小程序漏洞：可下载任意小游戏源代码，“跳一跳”可改分
文 | 李勤来自雷锋网（leiphone-sz）的报道雷锋网消息，据 IT 之家 1 月 2 日消息称，“跳一跳”居然可以利用漏洞自己改分数，甚至连微信小程序、小游戏的源代码都可以直接下载，只需要知道appid和版本号，就可以直接构造URL下载后缀为wxapkg的源码包，不需要任何验证。1 月 2 日下午，著名安全团队“盘古”的安全专家向雷锋网宅客频道证实，微信小游戏“跳一跳”改分漏洞仍在，此前流传的“微信已补漏洞”是指已经修补了微信小游戏“跳一跳”的源代码下载漏洞。这意味着，改分依然可行。到底怎么回事？雷锋网从盘古旗下的 Janus 威胁情报平台了解到了详情。一、复现一个为该平台投稿的独立开发者朱鹏飞称“我看完文章之后立马根据他的思路方法测试了一下，然后下载了十几个微信官方的小游戏源码单纯研究学习，截止我目前推送文章的时候（ 日23:50分 ），微信官方已经修复了这个漏洞，但是我感觉文章还是可以分享出来给诸位开发者，安全问题真的不容忽视呢。”雷锋网还注意到，朱表示，有些老版本的微信还是可以抓包，获取包地址。朱称，一大早起来刷 V2EX，看到一个帖子《微信跳一跳 可以直接更改分数， POST 请求没有校验…》好奇点进去看了。发现不但跳一跳小游戏可以直接改分数，甚至连微信小程序、小游戏的源代码都可以直接下载，只需要知道 appid 和 版本号，就可以直接构造 URL 下载后缀为 wxapkg 的源码包，不需要任何验证。虽然下载来的源码包是加密的，但是解密方法已经被 V2EXer 发现，并且写了一个解密的 Python 脚本，运行即可把源码包解开为文件夹。第一步，我先试着用帖子作者拼接好的跳一跳源码包地址测试，发现能够下载，不需要任何验证，只需要知道这个地址，直接任意浏览器或者下载工具打开都可以下载。第二步，再用帖子中的解包 Python 脚本把源码包解压成源代码。第三步，在本地微信开发者工具中新建一个空白的小程序或小游戏的项目，不要选择快速启动模板。第四步，把刚才解压出来的源代码复制到刚刚创建的项目目录中，开发者工具会提示编译出错，这个只需要新建一个game.json文件即可。文件内容不能为空，写一对大括号进去，或者加上deviceOrientation的配置，这句话的意思是游戏竖屏玩。保存后你发现游戏还是编译不通过，还需要修改最后一项，点击开发者工具右上角详情按钮，把调试基础库改成game。好了，运行起来了：此外， Janus 为雷锋网出具了一份最新改分攻略：二、改分关键步骤电脑安装抓包软件，手机设置https代理到电脑通过抓包软件，抓包拿到微信的sesseion_id将sesseion_id写入改分脚本，提交改分请求以下为详细教程(1)部署代理环境（mac环境）mac下选用charles作为抓包代理软件(https://www.charlesproxy.com/)，windows用户可以用 fiddler(https://www.telerik.com/fiddler)。安装好后运行起来，查看本机IP地址，以及软件提供的远程代理端口号：charles 的顶部菜单 Proxy-&Proxy settings将手机接入与电脑同一个局域网的wifi，然后在wifi的代理设置中，选择手动指定代理，代理服务器为电脑的ip及代理软件提供的端口号（如图中的8888）。电脑端会提示是否运行远程接入，点allow即可。设置好了以后可以尝试浏览器打开baidu.com，如果可以正常打开，并且在抓包软件中可以看到请求记录就完成了手机的代理设置。由于是https的请求，需要在手机端安装证书才可以解密请求，charles的证书可通过手机浏览器安装，手机浏览器访问http://chls.pro/ssl，点继续访问此网站，会提示安装证书。iOS 10.3以上的系统版本，需要在 设置→通用→关于本机→证书信任设置 里面启用完全信任Charles证书。配置好证书后可以打开https://baidu.com看看是否能解开百度的首页源代码。(2)获取session idhttps配置完毕后，打开微信的跳一跳小程序，就可以看到抓包历史有一个带有session id的请求：https://mp.weixin.qq.com/wxagame/wxagame_init在request部分就可以复制到session_id了。(3)将sesseion_id写入改分脚本，提交改分请求目前开源的脚本是nodejs写的，git地址：https://gist.github.com/feix/6dd1f62a54c5efa10f1e1c24f8efc417具体的步骤：新建个目录，比如：wxt1t，然后将脚本源码保存到这里，比如hack.js。然后安装nodejs，可以通过官网下载安装包安装：https://nodejs.org/en/然后在命令行cd到当前项目文件夹(wct1t)，运行：npm init --ynpm install crypto-js request-promise然后用文本编辑器打开hack.js，修改里面的score（分数）和session_id变量的值即可。命令行运行node hack.js，出现2018! Happy new year! 就代表成功了。上述盘古专家还提醒：“虽然‘跳一跳’的下载代码漏洞已经修补，但是之前官方的源代码已经传播开了，别人拿去改一改，就可以出个自己的‘跳一跳’了，比如，可以拿‘跳一跳’的代码改一个游戏，叫‘跳跳跳’，然后夹带一些私货，发布个新游戏。”如果这样，类似的新游戏是否有夹带恶意代码的风险？专家对雷锋网称：“小程序有审核机制，如果夹带了恶意代码，躲避审核后才能实现。现在小程序审核比较严格，尚不清楚其对恶意代码的审计力度。”参考链接：http://appscan.io/discover-discuss.html?id=
阅读排行榜
新浪科技为你带来最新鲜的科技资讯
苹果汇为你带来最新鲜的苹果产品新闻
新酷产品第一时间免费试玩
提供最新的科学家新闻，精彩的震撼图片微信6.6.1版本更新，这一次在小程序中新增了小游戏类目，小编初略试玩了一些，发现这些小游戏的趣味性还是很强的，非常适宜用来打发无聊的闲暇时光。
微信又更新了？没错，赶在2017年结束前，微信又升级了一个小版本，只不过这一次微信把重心侧重在了游戏方面，向来以便利著称的微信，这一次把这一理念用在了小游戏上，这些添加在小程序中的小游戏，无需下载，即点即玩。方便自然是方便了，然而这些小游戏究竟隐藏在程序的哪个位置呢？接下来就让小编带领大家一起把它找出来吧。首先打开微信的“发现 ”，进入到“游戏”选项（注意不是直接进入小程序功能），然后在“我的小游戏”一栏中点击“三个点”的圆型按钮，如下图所示红框。如何找到更多微信小游戏然后大家就会看到所有已发布的微信小游戏了，接下去就由各位自行体验这些小游戏了。所有已发布微信小游戏微信小游戏的优点在于即开即玩，无需额外下载客户端，但是不便之处在于每次都需要好几步点击重新打开或者事先将其添加到桌面。但在此次6.6.1版更新中，腾讯考虑到了这个不便，特意增加了历史记录功能，只要是你已经玩过小游戏（包括小程序），可以直接在聊天页面中通过下拉操作找到最近使用过的小程序，玩过什么用过什么一目了然，省去了重复查找的麻烦。小游戏历史记录
热门文章排行
宽带山热帖排行昨天微信又一次更新了，连带着微信小程序的小游戏功能一起开放。
5814&人参与&&日 21:47&&分类 : 微商推广&&
昨天微信又一次更新了，连带着微信小程序的小游戏功能一起开放。大家都知道游戏一直都是互联网上十分赚钱的一个项目，在此之前我就构思过无数个微信小程序的赚钱思路，正好借着游戏功能的更新，今天我就来给大家分享一下我自己构思的赚钱小程序，感兴趣的朋友可以做一做。1.手机用户特点微信小程序是微信功能的一个分支，微信则是作为一款手机APP而独立存在的，因此想要知道如何从小程序上赚钱，就必须要了解手机用户的特点。① 使用时间碎片化我认为手机用户最大的特点就是时间碎片化，尤其是针对小游戏等类别。因为绝大部分的手机用户在工作生活中都是无暇使用手机来进行休闲娱乐的。因此他们大多都只能在为时不长的吃饭或其他休息的时间掏出手机玩上几把，所以我们可以发现，消消乐一类的游戏在这几年的游戏长河里一直没有被淘汰，其根本原因就是因为符合了现代手机用户使用时间碎片化的特点。② 更喜欢竖屏操作我们从用户来看，竖屏操作往往只需要使用一只手，而横屏的操作除了看视频等，一般都是要两只手来操作。举个不太恰当例子，一些懒的人在生活中回答别人喜欢用“嗯”，因为不用张嘴只需要用声带发音即可，而这些懒人在网上聊天却不会用“嗯”，他们更喜欢用“哦”来回答，原因也很简单因为输入“哦”只需要输入一个字就能打出。所以对于手机用户来说，除了APP特别要求，他们会更愿意使用竖屏的形式来操作。③ 怀旧却渴望创新在携带重力感应的手机刚刚问世的时候，我想问问有多少人是因为重力感应的涂鸦跳跃，和流畅触屏的水果忍者等游戏而购买新手机的？举个手我看看！说到手机上的经典游戏，我能给你列举一大堆，这些游戏为什么能成为经典，有的又为什么消失在历史长河里，我就不过多赘述了，原因太多。但对经典的怀念是所有人都共有的，同时将重力感应、流畅触屏等加入到游戏里的创新更是受大家喜爱的。因此对于小程序来说，如果你不会做创新，那么对经典进行搬运也是可行的方法。④ 互动和社交是源动力“独乐乐不如众乐乐”“与人斗其乐无穷”，微信本就是一款用户社交互动的软件，因此搭载在微信上的小程序也必须具备这两个特点，由于小程序可以被分享到朋友圈，所以这两点也是很轻松就能实现的，但是让用户进行分享的源动力你就得好好考量了。举个例子，昨天官方更新的小游戏“跳一跳”的左下角有邀请好友围观（建立微信群），以及游戏自带的排名功能，这两个功能就是互动最基本的体现。再看另一个官方游戏“坦克大战”，更是可以邀请好友参加与对方真人进行对战，这就是让用户分享的源动力，毕竟我们做小程序的目的就是引流和赚钱。因此想要让你的小程序赚钱，互动和社交都是必不可少的。2. 这些赚钱的小程序还没有人做总结了上述的手机用户特点之后，我们就应当针对这些特点来开发小程序了，这里我就把自己的一些构思毫无保留的分享给大家。① 随便看看先来说一个不是游戏类的，我把这个构思的名字取名为“随便看看”，原因很简单因为这是一个随机刷新内容的小说或漫画小程序。我长期在地铁上看到这样的人，因为太拥挤他们无法玩一些手机游戏，但又有必要打发无聊的乘车时间，因此看小说漫画成了很多人的选择。这就是用户使用时间碎片化。这些人也常常会因为找不到好看的小说而苦恼，这就是用户需求。而看小说又正好是竖屏操作，因此这个构思就已经满足了上述内容的2点了。那么我们就可以开发一个包含大量小说漫画的小程序，并对这些内容进行分章分段。当用户点开“随便看看”小程序就能随机出现一段小说或者漫画，感兴趣的用户想看完，很简单付费即可购买全文！要是不喜欢这段内容，没关系刷新一下即可出现新的内容。这其实是一个很实际的构思，可以配合小说漫画派单以及代理来一起做，这样就不用担心内容的来源，还能获得用户付费后的佣金，大家互利共赢何乐而不为呢？最重要的是，这样的小程序不需要什么技术要求，却一直没人做，可惜可惜。那么如何让用户产生互动和社交呢？方法也很简单，每个用户有一次分享给朋友即可阅读全文的资格，使用这次资格后就需要付费才能阅读了，这就很简单的完成了互动和社交，更是为自己的小程序进行的了一个推广。不过在这个过程中一定要把握尺度，避免被判定为诱导分享而封掉，得不偿失。② 2048等游戏搬运小程序本质上是H5页面，因此很多曾经出现过的简单小游戏都是可以稍微改动就搬运到微信小程序上的。可能在你看这篇文章的时候就已经有不少的小游戏被搬运了。这类小游戏有一个特点，那就是简单易上手，任何人都可以玩，但却难于精通，不容易达到一个较高的分数。因此曾经风靡一时的2048、flappy bird等小游戏都可以搬运到小程序上。那么有的人就会问了，这样的小游戏怎么赚钱呢？那就是利用用户的攀比心理啊！这类用分数体现实力的游戏，必定会加入排行榜的功能，只要有这个功能的加入就必定会有想装逼炫技的用户存在。这类游戏的特点就是难于获取高分，想要装逼？充钱啊！充钱使你变得更强。举个简单的例子，以前某个版本的2048具有悔棋的功能，这就能在很大程度上让用户获得高分，那么这就是小程序版2048的收费功能了。再拿flappy bird来说，还差一点就能成为排行榜第一却不小心失误死了，购买水晶即可复活继续游戏。这些都是用这类小游戏赚钱的方法，过去适用未来也会适用。搬运小游戏需要注意的一点就是版权问题，所以学习一下某大厂思路，只搬框架不搬模型，角色和场景的造型改成其他的就可以了，毕竟某大厂就是这么起家的。如果你搬运得比较晚，那些经典的小游戏已经被搬运，也请不要着急，不妨打开我们曾经爱玩的小游戏网站，竖屏、易上手、难精通的小游戏都可以成为我们搬运的对象，不过这些小游戏基本都是flash的需要我们自己开发成H5的小程序，这就交给技术人员来完成吧。③ 原创爆款前面我们说到过，创新是最为用户接受的，对于小程序来说同样如此。我们看看和小游戏一起更新的功能是什么呢？音视频录制以及播放，这就是小程序的新功能。玩好这个功能你就能成为下一个爆款！下面就分享一个我的思路。曾近有这样的两个游戏，一个叫“别踩白块”，一个叫“节奏大师”，本质上来说这两个游戏都是考验反应力的音游，那么通过小程序的更新是不是可以把这两个游戏结合到一起再创新呢？首先在小程序内自带一些音乐的挑战关卡（选择无版权或公开版权的音乐），同时增加用户自制关卡的功能，该功能需要用户自己进行音频或者视频的录音，然后自行调整关卡布局，所以难度都是由用户自己控制的。当用户完成自己的关卡制作后，就可以分享给朋友让自己的朋友来挑战。每个用户仅有一次免费制作关卡的机会，想要制作更多关卡保存更多关卡就需要付费了。一个关卡大多在2到5分钟就能完成，这符合了用户使用时间碎片化的特点。使用别踩白块的竖屏4格或8格的按键页面，这符合了用户喜欢竖屏操作的习惯。运用经典音游的模式加上自制关卡的玩法创新，这符合了用户怀旧却渴望创新的心理。挑战朋友的自制关卡制作更高难度的自制关卡，这符合了用户互动社交甚至付费的源动力。我想哪怕我不把这篇文章写出来，过不了多久也会有这样的小游戏诞生吧。以上就是我个人对一些小程序的构思，希望能够为大家提供一些参考思路。原创一个小程序的思路很简单，请从用户的角度来考虑问题并一个个解决问题，重点还是执行力。淘客小程序还未被封时，执行力强的人早就开心的捞起了钱；投票项目需要第三方平台的搭建，执行力强的人依旧能月入上万；支付宝红包活动延长，执行力强的人早就开始了强制扫红包的玩法。很多时候你不是不懂，不是没有想法，只是你没有去做而已，不去做怎么知道能不能成功？来源：（微信/QQ号：7399058），转载请保留出处和链接！本文链接：
百度分享获取地址：http://share.baidu.com/code
我是钱个人微信/QQ号：7399058
我是钱软文营销：www.jianqian168.com
13:30 18:47 09:24 18:11
◎欢迎参与讨论，请在这里发表您的看法、交流您的观点。
我是钱QQ/微信：7399058微信扫一扫，使用小程序请使用微信6.5.3以上的版本
微信小游戏跳一跳小程序
微信小游戏跳一跳小程序截图
微信小游戏跳一跳多平台下载
微信扫一扫，使用小程序微信扫一扫，使用小程序微信扫一扫，使用小程序微信扫一扫，使用小程序微信扫一扫，使用小程序微信扫一扫，使用小程序微信扫一扫，使用小程序微信扫一扫，使用小程序微信扫一扫，使用小程序微信小程序现BUG：跳一跳小游戏直接改分数！
　　【PConline资讯】12月28日，微信发布了v6.6.1版本更新，带来了一系列小程序游戏，主推游戏名为&跳一跳&。　　玩法很简单，玩家控制主角在&箱子&间不断跳跃，长按蓄力，松开跳跃。但是&箱子&间距不同，呈现方向也有不同，非常考验精准控制跳跃力度。　　有大神自制&跳一跳&机器人被网友膜拜，不过还有更狠的，有网友发现了&跳一跳&小程序的漏洞，可以直接改分数。　　V2EX网站一篇题为
《微信跳一跳 可以直接更改分数，POST请求没有校验&》的文章获得大量曝光，帖中指出微信小程序存在漏洞，跳一跳小游戏可以直接改分数。 　　甚至连微信小程序、小游戏的源代码都可以直接下载，只需要知道appid和版本号，就可以直接构造URL下载后缀为wxapkg的源码包，不需要任何验证。　　据悉，微信官方已经修复了这个漏洞。相关阅读:微信小程序12306来了！史上最详细体验出炉！你们之前刷屏玩得跳一跳 其实是微信团队抄的谨慎更新 新版微信的这个小游戏 已经让用户上瘾&
最新资讯离线随时看
聊天吐槽赢奖品
大小：33.23 MB
授权：免费
大小：18.86 MB
授权：免费