微信小程序漏洞:可下载任意微信小游戏源代码

转载 2018年01月04日 00:00:00

本文转载自【小专栏平台】公众号,由独立开发者朱鹏飞投稿如果大家想要微信跳一跳小游戏以及其他十几个小游戏源码,大家可以关注【小专栏平台】公众号,回复“微信小游戏”即可获取到。

截止原作者目前推送文章的时候( 2018年1月1日23:50分 ),微信官方已经修复了这个漏洞,但是我感觉文章还是可以分享出来给诸位开发者,安全问题真的不容忽视呢。


另外说两点:

1、据说有些老版本的微信还是可以抓包获取包地址;

2、如果你喜欢小程序并且是小程序的开发者,可以关注我的github资源:https://github.com/justjavac/awesome-wechat-weapp 点击文章末尾的阅读原文可以访问


一、发现


一大早起来刷 V2EX,看到一个帖子《微信跳一跳 可以直接更改分数, POST 请求没有校验…》 https://www.v2ex.com/t/419056  好奇点进去看了。

640?wx_fmt=png&wxfrom=5&wx_lazy=1


发现不但跳一跳小游戏可以直接改分数,甚至连微信小程序、小游戏的源代码都可以直接下载,只需要知道 appid 和 版本号,就可以直接构造 URL 下载后缀为 wxapkg 的源码包,不需要任何验证。

640?wx_fmt=png


虽然下载来的源码包是加密的,但是解密方法已经被 V2EXer 发现,并且写了一个解密的 Python 脚本,运行即可把源码包解开为文件夹。

640?wx_fmt=png


二、重现


第一步,我先试着用帖子作者拼接好的跳一跳源码包地址测试,发现能够下载,不需要任何验证,只需要知道这个地址,直接任意浏览器或者下载工具打开都可以下载。

640?wx_fmt=png


第二步,再用帖子中的解包 Python 脚本把源码包解压成源代码。

640?wx_fmt=png

640?wx_fmt=png

640?wx_fmt=png


第三步,在本地微信开发者工具中新建一个空白的小程序或小游戏的项目,不要选择快速启动模板。

640?wx_fmt=png


第四步、把刚才解压出来的源代码复制到刚刚创建的项目目录中,开发者工具会提示编译出错,这个只需要新建一个game.json文件即可。

640?wx_fmt=png

文件内容不能为空,写一对大括号进去,或者加上deviceOrientation的配置,这句话的意思是游戏竖屏玩。

640?wx_fmt=png

保存后你发现游戏还是编译不通过,还需要修改最后一项,点击开发者工具右上角详情按钮,把调试基础库改成game。

640?wx_fmt=png

好了,运行起来了:

640?wx_fmt=png


如果有同学对微信官方的小游戏源码感兴趣,想要研究学习,那么可以在本微信公众号回复“微信小游戏”,在确保不违法情况下,我可以发给你用于研究学习。


微信公众号H5游戏平台完整源码下载(几十款游戏和应用)

  • 2015年03月14日 01:03
  • 18.06MB
  • 下载

微信跳一跳,自动跳源代码

  • 2018年02月09日 16:45
  • 41.44MB
  • 下载

微信小程序漏洞:可下载任意微信小游戏源代码

本文是我的好朋友,独立开发者朱鹏飞早上的投稿,我看完文章之后立马根据他的思路方法测试了一下,然后下载了十几个微信官方的小游戏源码单纯研究学习,截止我目前推送文章的时候( 2018年1月1日23:50分...
  • jHstGeWWubw
  • jHstGeWWubw
  • 2018年01月02日 00:00
  • 260

微信小程序游戏开发文档以及开发工具地址

现在微信小程序已经开放了 视频直播,多人视频会议,录制音频,开发小游戏,链接H5页面等功能!...
  • qq_35713752
  • qq_35713752
  • 2017年12月28日 17:03
  • 713

用C++实现的经典小游戏源代码

  • 2013年11月20日 12:41
  • 6.82MB
  • 下载

微信“跳一跳”辅助教程python实现

本文转载自: http://blog.csdn.net/LittleBeautiful/article/details/78955792 作者: LittleBeautiful ...
  • nini_coded
  • nini_coded
  • 2018年02月04日 01:59
  • 522

微信小程序-小游戏文档入口

有木有像我一样笨的小朋友找不到微信小程序-小游戏文档入口.这里我贴给大家.刚发布的百度不好找呀. https://mp.weixin.qq.com/debug/wxagame/dev/index....
  • liukai6
  • liukai6
  • 2017年12月29日 14:02
  • 273

【CSDN下载】第七期:微信小程序跳一跳游戏破解源码、Modbus TCP和TCP通信测试

为便于广大开发者对热门资源的下载需求,下载频道专为广大开发者开辟了推荐一周IT优质资源通道,以供开发者参考下载,同时欢迎大家上传优质资源并留言所需的资源,小编会汇总所需,及时奉上所求。源码系列微信小程...
  • CSDN_download01
  • CSDN_download01
  • 2018年01月12日 16:35
  • 144

GameBuilder开发游戏应用系列之50行代码实现微信漂流瓶

在线运行:http://osgames.duapp.com/apprun.html?appid=osgames1-871422195197258 在线编辑:http://osgames.duapp....
  • yinlijun2004
  • yinlijun2004
  • 2015年03月07日 23:21
  • 2630

用Python编写微信小游戏“跳一跳”的运行脚本

前言 更新了微信后发现了一款小游戏跳一跳,但是玩了一下午最高才达到200,每次差点破纪录后总是手抖就挂掉了,气的想要砸手机。。闲来无事刷微博的时候正好看到有人分析如何编写脚本自动运行游戏破了3000...
  • qq_22408539
  • qq_22408539
  • 2017年12月31日 03:37
  • 7804
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:微信小程序漏洞:可下载任意微信小游戏源代码
举报原因:
原因补充:

(最多只允许输入30个字)