微信跳一跳 可以直接更改分数， POST 请求没有校验… 🤪

[bravecoder]

这两天逛 v 站出现了一众微信跳一跳 'AI'，已经被刷屏了……

• https://www.v2ex.com/t/418833
• https://www.v2ex.com/t/418775
• https://www.v2ex.com/t/418467
• https://www.v2ex.com/t/418785
• https://www.v2ex.com/t/419011
• https://www.v2ex.com/t/418831
• https://www.v2ex.com/t/419005
• https://www.v2ex.com/t/418905
• https://www.v2ex.com/t/418982

大致思路都是通过计算两点距离，模拟点击起跳来方式来实现的，

可是作为不越狱的苹果党，手里又没安卓机，看着被刷屏刷榜，非常不爽啊

想着抓个包看看能不能模拟下网络请求刷分，结果 ……

发现可以直接伪造 POST 请求刷分

https://gist.github.com/feix/6dd1f62a54c5efa10f1e1c24f8efc417

[chainchan]

实测目前最高只能刷到 500 分了。

[pacino]

并没有 servicewechat.com 请求

[ahu]

@bravecoder
解析脚本报错：

Traceback (most recent call last):
File "/Users/xxxx/Desktop/unwxapkg.py", line 75, in <module>
w = open(root + d.name, 'w')
IOError: [Errno 20] Not a directory: '/Users/xxxx/Desktop/wxa/3.wxapkg/app-config.json'

[bravecoder]

@ZE3kr 今天居然升级了到 version 4 了，🤔。我这改完 referer 好使，不过 好像限制加强了，500 最高 ……

[bravecoder]

@ahu 原始脚本有点问题，小改，https://gist.github.com/feix/32ab8f0dfe99aa8efa84f81ed68a0f3e

[aino]

我 打不开

[twm]

{u'base_resp': {u'errcode': 108}}

[slwl]

是不是已经失效了？ {u'base_resp': {u'errcode': -2}}

[zhijiansha]

可以的

[xqin]

1. 是有加密的, 算法是 AES, 加密的 KEY 是 session_id
2. 最高分是 100000 分(10 万分),并不是 999
3. 如果改的分数比较离谱会被官方直接给你清 0,而且如果多次改,可能会进黑名单,然后就是永久 0 分了(别问我是怎么知道的 /捂脸)

[bravecoder]

@twm @slwl 起来发现跳一跳又发新版本了， py 操作 aes 好像有点问题，速撸了个 js 版……

[bravecoder]

@xqin 😂 厉害了，还没试过刷非常高的分。微信维护升级特别快，刷分的漏洞估计很快就会被堵住了…

[hobbyliu]

@bravecoder 新版链接求

[chocolatesir]

@xqin 清零只是因为周一的原因吧。

[qiayue]

@bravecoder 123.125.9.32 这个服务器是你的还是微信的？

[uglyer]

想知道如何获取 appid.(滑稽

[qiayue]

@uglyer appid 有时候作者自己就会公布，因为公众号绑定小程序必须知道 appid

[uglyer]

@qiayue 看了一下下载的包实际上是分发的小程序，这个 ip 猜测是一个运营商的缓存服务器.

[qiayue]

感谢 @bravecoder，我根据你的帖子搞了一个大新闻
http://mp.weixin.qq.com/s/9ZQUL6UcYcBJK-ZTUjm7jQ

[qiayue]

我用我自己的小程序 appid 和 版本号的确可以下载