小程序安全检测（二）

1、未使用有效的Token机制，导致可以绕过鉴权

整改优先级：高

问题描述：如果被测应用没有使用有效的Token机制，对登陆响应中的服务器返回的鉴权信息进行修改，即可绕过服务器鉴权，直接访问系统内部信息。

检查方法：

1. 利用网络抓包工具监听登陆响应，对登陆响应中的服务器返回的鉴权信息进行修改。
2. 修改后成功绕过登录界面，进入应用界面。

利用网络抓包工具进行监听并修改鉴权信息

检查工具：Fiddler、BurpSuite等

整改建议：使用有效的Token机制进行鉴权。

2、传输数据可修改，造成越权访问

整改优先级：高

问题描述：利用已有的用户名密码登录小程序，当小程序访问某一模块时，使用网络抓包工具进行监听，对访问该模块时的关键信息进行替换，则可越权访问他人的小程序模块或遍历用户信息等。

检查方法：

1. 利用已知的用户名密码登录被测小程序，利用网络抓包工具对被测应用进行监听；
2. 以用户在小程序中查询订单为例，在获取用户订单列表时直接使用PassportId参数进行查询，未验证查询参数PassportId是否与查询人会话身份（session）匹配，这样便导致可以通过修改PassportId值的方式获得其他用户对订单列表，从而获取用户信息，造成越权访问。

修改手机号后成功登陆特定邮箱

检查工具：Fiddler、BurpSuite等 

整改建议：在传输过程中对敏感数据进行加密传输，检查查询时参数是否与session相匹配，并且在单点登录过程中采用有效的Token机制进行鉴权。