小游戏“跳一跳”居然可改分,微信小程序现漏洞 | 夏冰加密软件技术博客
热点关注: 文件夹加密 文件夹加密超级大师 文件加密 文件夹加密软件 U盘超级加密3000 加密技术 电脑监控专家 图像加密 图像加密算法 加密算法 加密 加密软件 数据加密 超级加密3000 文件加密软件

小游戏“跳一跳”居然可改分,微信小程序现漏洞

2018年元旦三天假期大家玩的很嗨皮,大家玩的最嗨的除了朋友圈里晒出的18岁,就是微信新小程序里面的“跳一跳”这款小游戏了。

小游戏“跳一跳”居然可改分,解密微信小程序现漏洞

但是你知道吗?“跳一跳”居然可以利用漏洞自己改分数?甚至连微信小程序、小游戏的源代码都可以直接下载,只需要知道appid和版本号,就可以直接构造URL下载后缀为wxapkg的源码包,不需要任何验证。目前,该漏洞已被微信修复。

虽然下载来的源码包是加密的,但是解密方法已经被 V2EXer 发现,并且写了一个解密的 Python 脚本,运行即可把源码包解开为文件夹。

第一步,实验者试着用帖子拼接好的跳一跳源码包地址测试,发现能够下载,不需要任何验证,只需要知道这个地址,直接任意浏览器或者下载工具打开都可以下载。

小游戏“跳一跳”居然可改分,解密微信小程序现漏洞

第二步,再用帖子中的解包 Python 脚本把源码包解压成源代码。

第三步,在本地微信开发者工具中新建一个空白的小程序或小游戏的项目,不要选择快速启动模板。

小游戏“跳一跳”居然可改分,解密微信小程序现漏洞

第四步、把刚才解压出来的源代码复制到刚刚创建的项目目录中,开发者工具会提示编译出错,这个只需要新建一个game.json文件即可。文件内容不能为空,写一对大括号进去,或者加上deviceOrientation的配置,这句话的意思是游戏竖屏玩。

小游戏“跳一跳”居然可改分,解密微信小程序现漏洞

保存后你发现游戏还是编译不通过,还需要修改最后一项,点击开发者工具右上角详情按钮,把调试基础库改成game。

虽然微信官方已经修复了“跳一跳”及微信小程序的这些漏洞,但是安全问题真的不容忽视呢!