【SRC】抓包环境搭建与并发漏洞实战全解
本文仅用于技术研究，禁止用于非法用途。
Author:枷锁
小程序安全：抓包环境搭建与并发漏洞实战全解
在当前的网络安全渗透测试（特别是 SRC 众测）中，微信小程序已成为漏洞产出的“重灾区” 。小程序功能迭代快、与移动端业务高度重合，且往往由于开发安全意识不足，隐藏着大量的逻辑漏洞 。本文将深入探讨如何搭建高效的小程序抓包环境，并详细解析并发漏洞（Race Condition）的实战应用。
一、 环境搭建：微信桌面端抓包全流程
虽然可以通过模拟器或真机抓包，但对于日常渗透，桌面端微信因其操作流畅、不卡顿而成为首选 。
1. 核心：安装受信任的根证书
抓取 流量的第一步是导入证书 。
-
导出证书：在 Burp Suite 中导出
CA证书（通常为.der格式） 。 -
本地安装：双击证书，将其安装在电脑本地的“受信任的根证书颁发机构”中 。若漏掉这一步，将无法解密小程序的 数据包 。
2. 精细化流量控制：Proxifier 规则设置
为了避免全局代理导致腾讯会议、文档等程序卡顿，推荐使用 Proxifier 进行进程级流量拦截 。
-
定位进程：打开小程序，在任务管理器中找到
WeChatAppEx.exe，右键打开文件所在位置并记录路径 。 -
设置代理服务器：地址设为
127.0.0.1，端口设为 Burp 的监听端口（如8080） 。 -
配置拦截规则：
-
Default/Localhost：设为
Direct（直连） 。 -
WeChatAppEx：设为
Proxy（指向 Burp） 。
这样可以确保只有小程序的流量进入 Burp，实现“精细化控制” 。
二、 核心漏洞解析：并发漏洞
并发漏洞是一种典型的逻辑漏洞 。其本质是利用机器处理速度的差异，在后端数据库完成状态更新（如余额扣减、次数标记）之前，瞬间发送多个请求，从而突破业务逻辑限制 。
1. 攻击逻辑：机器对抗机器
-
对抗原理：人手点击的速度（即便很快）在计算机眼中依然极其缓慢，后端完全有时间依次处理每个请求 。并发攻击则是“机器对抗机器”，通过工具在毫秒级时间内丢出几十甚至上百个数据包 。
-
时空窗口（Race Window）：漏洞的核心在于后端程序“读取数据库”与“更新写回数据库”之间存在一个极短的时间差 。
-
正常顺序：请求 A 进入 读取余额 10 元 扣除 8 元 写回数据库余额 2 元 。
-
漏洞发生：在请求 A 的扣费结果还没写回数据库的这一瞬间，并发工具塞入的请求 B、C、D 也同时执行了“读取余额”的步骤。由于数据库尚未更新，它们读取到的都是初始的 10 元，系统判定余额充足，从而导致“10 元钱买了 3 件甚至更多商品”的后果 。
-
危害表现：除了常见的“薅羊毛”买商品，还包括短时间绕过短信频率限制造成炸弹攻击、重复签到领积分等 。
2. 必备工具：Turbo Intruder 与占位符
Turbo Intruder 是 Burp Suite 中性能最强的插件之一，它直接在网络层进行发包，能够产生极高的瞬时流量，是复现并发漏洞的首选 。
-
占位符
%s的关键作用： -
它是插件定位“执行点”的唯一标识 。
-
强制性：即使你不需要替换任何参数（如单纯的纵向并发），也必须在数据包中插入
%s，否则脚本会报错无法启动 。 -
最佳插入位置（不影响功能原则）：
-
建议插入在不被后端业务逻辑校验、不影响协议结构的字段。
-
首选位置：
User-Agent值的末尾、Header结尾处 。 -
次选位置：
Content-Length的数值后。由于并发工具通常会自动处理报文长度，插在此处通常不会导致发包失败 。
3. 核心脚本解析：纵向 vs. 横向
在实战中，根据业务场景的不同，我们需要选择不同的脚本逻辑：
-
纵向并发：
race.py（快速重放模式） -
逻辑：对同一个完整的数据包，不改变任何参数，进行极速重放 。
-
应用场景：短信轰炸测试（针对同一个手机号）、单个奖品的重复领取、单次抽奖的漏洞探测 。
-
判断依据：通过观察结果列表中的响应包“长度（Length）”来区分。若多个请求的长度与成功请求一致，则证明并发成功 。
-
横向并发：
basic.py（参数化爆破模式） -
逻辑：在并发请求的同时，动态地将字典中的内容替换到
%s的位置 。 -
应用场景：
-
批量薅羊毛：一张优惠券同时用于 ID 为 01、02、03 的不同商品订单 。
-
补签漏洞：在积分不足的情况下，通过横向并发同时补签 7 月 4 号、5 号、6 号等多个日期 。
-
注意事项：在编写
basic.py脚本引用字典时，即使在 Windows 环境下，文件路径也必须使用**正斜杠/**（例如E:/dict/id.txt），否则 Python 环境可能无法正确识别路径 。 -
多参数并发：进阶技巧
-
若业务需要两个参数（如姓名+身份证）同时对应匹配，传统的嵌套循环脚本会造成“一对多”的资源浪费且成功率低 。
-
建议使用进阶脚本（如
rs.py）实现字典项的一对一精准匹配并发，以应对更复杂的认证逻辑 。
4. 进阶挑战：带 Hash 签名的并发绕过
在小程序环境中，当请求参数中存在 sign、token 或类似的加密签名时，单纯的纵向并发往往失效。我们需要通过以下两种方式构建“合法”的并发包：
1. 主动生成法：逆向加密算法构建字典
如果你通过反编译小程序前端代码，成功分析出了 sign 参数的生成逻辑（例如：md5(id+timestamp+salt)md5(id + timestamp + salt)md5(id+timestamp+salt)），那么你可以通过自动化脚本预先生成攻击字典
-
操作步骤：
-
编写本地脚本，批量计算目标
id对应的合法sign。 -
构造如下格式的字典文件：
Plaintext
id=12345&sign=adsfasgig5h5fg51hs5d1fhfj id=12346&sign=xcdasdasgig5h5fg51hs5d1... -
在 Burp 中将整段待测参数设为
%s占位符 。 -
利用
basic.py脚本读取字典，实现带合法签名的横向并发攻击 。
-
2. 被动采集法：“抓包-丢弃-整合”策略
如果你无法破解加密算法，或者签名逻辑涉及复杂的服务器交互，但目标 id 范围较小（例如只有 10 个特定商品），可以使用这种“降维打击”的方法 。
- 核心原理——利用未使用的合法签名： 后端通常在请求成功处理后才失效该签名或扣除资源。如果在请求到达后端前将其“丢弃”，该签名在短时间内依然是合法的 。
- 实战流程：
- 逐一抓包：点击第一个商品，Burp 拦截请求，复制下其完整的参数（含
id和sign） 。 - 关键动作：Drop（丢弃）：必须在 Burp 中点击
Drop按钮将该包丢弃 。这样你的账户余额/积分不会被扣除，但你已经窃取到了一个“合法且未被消耗”的签名包 。 - 重复采集：对所有目标商品重复上述“抓包 -> 记录参数 -> Drop”的操作。
- 整合字典：将记录下的多组合法
id&sign参数组合存入文本文件。 - 瞬时并发：利用 Turbo Intruder 或 Burp 的分组并发功能（Send group in parallel），将这些采集到的合法请求在一瞬间全部发往后端 。
- 逐一抓包：点击第一个商品，Burp 拦截请求，复制下其完整的参数（含
- 预期效果：由于后端在毫秒级时间内收到了多个携带“合法签名”的请求，在数据库还没来得及更新状态前，这些请求可能全部通过校验并执行，从而实现跨商品的并发薅羊毛 。
三、 四大实战应用场景详解
场景 1：纵向快速并发（单点突破型
核心逻辑：对同一个原始数据包（不更改参数内容）进行暴力重放，利用后端处理“读取-扣减-写入”的时间差，实现“单次权限，多次执行”
-
短信轰炸/绕过频率限制：
现象：后端设置一分钟仅允许发送 1 条验证码，但利用
race.py脚本瞬间并发 30 次，可能成功绕过频率检查发出十几条短信 。判定标准：在众测中建议验证成功 15 条以上以证明危害 。
-
重复抽奖/签到：
案例：某小程序每日仅限 1 次免费抽奖，抓取抽奖包后加锁并发 。
结果分析：通过 Burp 的
Length（长度）判断成功次数 。若出现多个 1000 长度（成功）而其余为 600（余额不足），即便只多成功一次也属于漏洞 。
场景 2：横向并发（参数遍历型）
核心逻辑：在并发请求的同时，动态修改关键参数（如商品 ID、兑换码），实现对不同目标的批量攻击。这要求攻击者提前收集目标 ID
-
壁纸/虚拟商品薅羊毛：
攻击步骤：
- 点击商品兑换，拦截包后记录
id，点击Drop丢弃包以保护账户余额 - 重复操作，整理出一份 ID 字典（如
784704,784705） - 将数据包 ID 处改为
%s，利用basic.py脚本读取字典并发
- 点击商品兑换，拦截包后记录
-
补签漏洞：
技巧：将日期（如
20230704）作为变量，利用横向并发一次性补齐当月所有欠签，后端往往只校验了一次积分余额
场景 3：多参数双重并发（精准匹配型）
核心逻辑：当业务涉及“姓名+身份证”或“手机号+验证码”两个互相关联的参数时，必须实现字典内容的一一对应并发
-
避坑指南（一对一 vs 一对多）：
错误做法：使用嵌套循环逻辑，会导致“小明”匹配了 20 个身份证发包，造成 400 次发包的资源浪费且极易被封 IP
优化方案：编写自定义脚本（如
rs.py或id.py），确保第 1 个名字精准对应第 1 个身份证进行发包 。这种“1:1 匹配模式”极大提高了身份绕过类并发的成功率
场景 4：多数据包分组并发（全加密与签名绕过）
核心逻辑：针对参数全加密或带有强哈希校验（Sign）的包，由于无法在脚本中动态修改 %s，需采用“包组并发”策略
-
全加密包绕过：
- 手动抓取 5 个不同商品的兑换请求包，分别发送到
Repeater。 - 利用新版 Burp（2023.9+）的
Group功能，将这 5 个包归为一个绿色组 。 - 选择 “Send group in parallel”（并行发送组内容），将这 5 个完全不同的加密包瞬时丢出 。
- 手动抓取 5 个不同商品的兑换请求包，分别发送到
-
进阶：带 Hash 签名的绕过策略：
主动生成法：通过逆向反编译小程序，找到签名的加盐（Salt）方式，预先计算出
id=12345&sign=xxx的完整参数对存入字典，然后使用场景 2 的横向并发被动采集（Drop 窃取法）：
- 当无法逆向签名时，依次点击不同商品
- 抓到包后，直接复制合法的
id & sign参数，立即点击 Drop 丢弃该包 - 收集 10 组“合法且未使用”的参数对，通过场景 4 的分组并发功能一齐发出
四、 渗透测试建议：从公益到企业 SRC
作为新手或正在提升实战能力的 CS 学生，建议从公益小程序（非知名小企业）入手。
-
目标选择：搜索“商城”类小程序，重点关注优惠券领取、签到领积分、抽奖、补签等功能点 。
-
测试广度：不要盯着一个小程序死磕，要批量测试。除了并发，还应关注收货地址处的 XSS 和订单 ID 处的平行越权 。
-
安全底线：测试必须点到为止，严禁深入利用漏洞或破坏业务数据 。
免责声明：本文内容仅用于网络安全教学，请务必在获得合法授权的前提下进行渗透测试。非法渗透需承担相应法律责任 。
宇宙级免责声明
🚨 重要声明：本文仅供合法授权下的安全研究与教育目的！🚨
1.合法授权：本文所述技术仅适用于已获得明确书面授权的目标或自己的靶场内系统。未经授权的渗透测试、漏洞扫描或暴力破解行为均属违法，可能导致法律后果（包括但不限于刑事指控、民事诉讼及巨额赔偿）。
2.道德约束：黑客精神的核心是建设而非破坏。请确保你的行为符合道德规范，仅用于提升系统安全性，而非恶意入侵、数据窃取或服务干扰。
3.风险自担：使用本文所述工具和技术时，你需自行承担所有风险。作者及发布平台不对任何滥用、误用或由此引发的法律问题负责。
4.合规性：确保你的测试符合当地及国际法律法规（如《计算机欺诈与滥用法案》（CFAA）、《通用数据保护条例》（GDPR）等）。必要时，咨询法律顾问。
5.最小影响原则：测试过程中应避免对目标系统造成破坏或服务中断。建议在非生产环境或沙箱环境中进行演练。
6.数据保护：不得访问、存储或泄露任何未授权的用户数据。如意外获取敏感信息，应立即报告相关方并删除。
7.免责范围：作者、平台及关联方明确拒绝承担因读者行为导致的任何直接、间接、附带或惩罚性损害责任。
🔐 安全研究的正确姿势：
✅ 先授权，再测试
✅ 只针对自己拥有或有权测试的系统
✅ 发现漏洞后，及时报告并协助修复
✅ 尊重隐私，不越界
⚠️ 警告：技术无善恶，人心有黑白。请明智选择你的道路。
希望这个教程对你有所帮助！记得负责任地进行安全测试。
