利用乐动力漏洞修改微信步数

通过白帽子“路人甲”在乌云平台针对计步软件“乐动力”公布的漏洞,发现乐动力在上传个人数据的接口处存在未经过验证的设计缺陷,可以随意修改step参数和对应请求头content-length再次提交数据。

  1. 下载“乐动力”APP,注册并登录;
  2. 在设置中查看并记录下自己的乐动力ID;
  3. 在设置中找到“微信排行榜”选项,点击进入绑定自己的微信运动;
  4. 下载一个抓包工具,以Fiddler4为例,以下已提供下载;
  5. 安装并启动Fiddler4,然后进行基本配置;
  6. 打开菜单栏中的Tools——Fiddler Options,打开“Fiddler Options”对话框;
  7. 在“Fiddler Options”对话框切换到“Connections”选项卡,然后勾选“Allow romote computersto connect”后面的复选框,然后点击“OK”按钮;
  8. Fiddler Options

  9. 关闭电脑防火墙,重启电脑,并打开Fiddler4;
  10. 使用浏览器访问:http://127.0.0.1:8888 ,若出现内容(“Fiddler Echo Service”),说明配置成功了;
  11. 根据下图指示,查看自己电脑的IP;
  12. Fiddler4查看IP

  13. 将获取的电脑IP设置为手机的代理IP。由于安卓和苹果系统的差异,大致设置方法是:打开手机的“设置——WiFi”,点击当前链接的wifi,手动设置HTTP代理,服务器填写之上获取的电脑IP,端口默认是8888;
  14. 手动设置HTTP代理

  15. 点击“Remove all”,清除Fiddler抓取的网络请求数据,便于接下来的查找;
  16. 清除Fiddler抓取的数据

  17. 使用手机打开“乐动力”,随意点击几下底部按钮,最后在设置中点击“提交成绩”(若提示失败,无视即可);
  18. 乐动力

  19. 观察Fiddler中的数据变化,寻找Host中带有“ledongli.cn”的链接,选中一条后在右边点击“WebForms”,记录下获取的PC值;
  20. WebForms

  21. 打开以下提供的网页,填写对应的数据,选择提交。网页若显示status为OK,则成功;
  22. 网页

  23. 最后在设置中选择“微信排行榜”,便可将乐动力数据同步至微信运动。
  24. 微信运动

网盘链接:http://pan.baidu.com/s/1i3HDEs9 密码:d3fu
 
目前共有0条评论
你目前的身份是游客,评论请输入昵称和电邮!

  • 暂无Trackback