专栏首页lulianqi使用浏览器访问或调试微信公众号(跳过微信认证)

使用浏览器访问或调试微信公众号(跳过微信认证)

因为大部分公众号web应用实际登录都是使用用户微信认证登录,下文主要是提供一种方法使在PC端使用任意浏览器绕过微信认证完成登录,后面就可以在浏览器中使用或调试web应用。

应用服务器(我们自己的第三方应用程序)需要知道是谁在访问服务(登录),而在微信公众号应用中登录一般都是使用静默的oauth2,由微信认证用户的真实性,并通知应用服务器当前用户是哪位(openid)

那能不能跳过微信应用程序由第三方来模拟(模拟微信应用程序,骗过微信oauth2服务器)完成oauth2授权?

当然如果您本身就是公众号的管理者那可以直接设置自己的帐号为该公众号开发者帐号,作为开发者帐号其实这些都不要去关心,因为你可以直接使用微信开发者工具去完成授权,然后在开发者工具中进行调试

上图是展示的一个一般情况下的微信授权过程。(https://mp.weixin.qq.com/wiki?t=resource/res_main&id=mp1421140842

请求1:一般就是一个对公众号网页的范围,一旦我们自己的应用服务器发现这个用户授权失效(没有相应cookie,或cookie对不上),那服务器返回302,要求用户(微信APP内置 浏览器)跳转至微信授权服务器 『https://open.weixin.qq.com/connect/oauth2/authorize?appid=APPID&redirect_uri=REDIRECT_URI&response_type=code&scope=SCOPE&state=STATE#wechat_redirect』 这里有个关键信息appid,应用服务器会把appid带上,以便微信授权服务器识别是那个公众号来授权了

请求2,3:用户按302的指示向微信服务器进行授权,在2,3中微信用户不仅把之前的appid带上,还带上了uni(user information 正常也只在微信跟微信服务通讯中用),跟一个关键的key。(这个key值每次授权不不一样,所以保存下来重放也无效),猜测key是由微信应用程序根据用户信息,公众号信息加密合成的,外部应用程序也是很难仿照。第2步 的 appid与uin向微信服务器换取了uuid,第3步,微信返回了关键的code参数,并通知微信应用程序301到 我们的应用服务的地址。 (实际上一旦应用服务器拿到code,后面的步骤就可以不一定一定需要微信APP参与了)

请求4:用户带着微信返回的code请求我们的应用服务器,我们自己的应用服务器拿到code后向微信授权服务器换取网页授权access_token 『https://api.weixin.qq.com/sns/oauth2/access_token?appid=APPID&secret=SECRET&code=CODE&grant_type=authorization_code』 注意这个请求需要带上secret,即表示这个请求只能由我们的应用服务器来完成(secret不能公开)

完成请求5后我们的应用服务器已经拿到openid,access_token ,简单的应用取得openid后即已经能确定用户的身份了。如果需要用户的详细信息可以使openid,access_token用进一步向微信服务器请求

结束:一般应用服务器使用用户的openid标识用户,所以得到通过用户请求中的code获取到openid后即表示用户已经被认证,应用服务器此时通常在这个请求的response中加入Set-Cookie将登录信息写入微信浏览器(或者对之前的cookie的认证信息标记为有效)

通过上面简单的步骤可以看出来无论是客户端(微信)还是应用服务器都有私有的类似secret的数据,来保证各自的不可伪造性。所以无论是想要伪造谁都不是那么简单

但是一旦微信oauth2完成后的安全性就会变成一般浏览器的一样,应用服务器验证用户基本上都凭借请求中带的含有十分信息的cookie。也就是说我们只要能在微信公众号(服务号)应用完成认证后将相应的cookie取出并写入浏览器(或者其他调试工具),那浏览器就可以通过后面应用服务器的身份验证(无论当前网页使用怎样的域名甚至是前端人员的本地页面)

那现在就是2个步骤:

  • 获取网站授权完成后的cookie(cookie可能会有很多,而我们其实不用关注哪个是认证用户信息用的,全部拿过来就行了)。对于cookie的获取其实还是比较方便的,如果被设置为微信公众号的开发者可以直接使用微信web开发者工具,调试信息包括cookies也都会有,如果不是开发者无法进入调试模式也没有关系,任何针对http协议及更底层协议的抓包工具都可以查看request所携带的cookie信息。
  • 然后就是将cookies信息写入浏览器,如果是浏览器可以在Console中修改cookies,不过要求必须必须带有js执行能力的控制台的浏览器。还是一个就是通过response的head头 Set-Cookie来完成cookie的写入及修改。

下面接受一种更简单的步骤完上面2个步骤

使用Fiddler插件freeCookies 完成cookies的操作 (下载及使用说明: https://www.cnblogs.com/lulianqi/p/9481203.html

直接在手机微信上打开公众号(订阅号)页面,使用fiddler抓取指定网站任意页面请求(也可以使用PC版微信打开公众号页面)

进入free cookies 标签页(free cookies 插件下载地址 使用说明)

选择目标域名网址的任意页面请求(注意图片及js资源可能不含有cookies信息)点击Get Cookies获取cookie (如下图)

打开本地调试页面(也可以是其他域名或是同一域名)

填写目标地址到UrlFilter,勾选Injeck Cookies,在浏览器中对该站点任意请求进行刷新操作(cookie 写入完成后建议取消勾选,或者不要勾选Inject Always)

写入cookies后就可以看到页面再与服务器的交互就已经完成了“登录”

最后下图展示一张京东到家公众号应用直接在chrome,并完成了微信的认证登录。(实际是手机微信的登录后将cookie再写到Chrome里,这里jd需要在浏览器中修改UA,chrome本身就可以直接修改UA)

以上使用到的 Fiddler插件freeCookies 说明见 https://www.cnblogs.com/lulianqi/p/9481203.html

源代码见github: https://github.com/lulianqi/FreeCookies

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 微信授权登录mock(在没有真实微信账号的情况下测试大量微信账户授权登录的情况)

    对于构建在微信公众号的系统,帐号体系往往使用微信授权登录(如各类微信商城应用系统)。

    lulianqi
  • UNICODE,GBK,UTF-8

    UNICODE,GBK,UTF-8     简单来说,unicode,gbk和大五码就是编码的值,而utf-8,uft-16之类就是这个值的表现形式.而前面那三...

    lulianqi
  • HTTPS中间人攻击实践(原理·实践)

    很早以前看过HTTPS的介绍,并了解过TLS的相关细节,也相信使用HTTPS是相对安全可靠的。直到前段时间在验证https代理通道连接时,搭建了MITM环境,才...

    lulianqi
  • 微信启动页6年来首次“变脸”,背后有什么故事?

    有没有发现,今天的微信有些特别?微信的启动页面,和平时不太一样? ? 现在至9月28日17时,用户打开微信,可以看到像上图一样动起来的微信启动页。 以前,映入眼...

    腾讯大讲堂
  • 类企业微信平台市场是否还有机会?

    微信颠覆了移动入口,改变了我们的生活方式,曾有业内人士表示,微信未来将成我们生活一体化必不可少的工具,如果微信在企业级市场上再有所作为的话,那么工作和生活整体化...

    人称T客
  • 微信客户端性能监控和优化简述

    今天主题,产品数量级上去了之后很多人都会去关心性能问题。这里是Info对微信性能优化上的一些探寻,值得参考。

    Anymarvel
  • android版微信5.2.1更新 支持微信聊天记录备份到电脑上

      昨天微信 5.2.1 for Android 全新发布了,和微信 5.2.1 for iPhone一样,支持拍照分享,可以把照片发送给多个朋友,最重要的一个...

    ytkah
  • 即时通讯创业必读:解密微信的产品定位、创新思维、设计法则等

    注:本文原题《微信的操作系统之路》,来自2018年6月23日的创投理想国线下嘉宾陆树燊的分享会总结(原分享四万余字,本文删减至六千字精华),发表于陆树燊的公众号...

    JackJiang
  • 薛青:融合通信企业实践案例分享

    企业微信的口号叫做“连接成就智慧企业”, 曾经还有一个口号叫做“让每一家企业都有自己的微信”,企业微信是从微信系统中发展出来的。

    云加社区技术沙龙
  • 不知道这几点,千万别开发微信小程序

    最近经常在各个技术论坛和社区有人吐槽,说:为什么我开发的微信小程序经常审核不通过?为什么别人的半天就能通过,而我的要来来回回的审核,拒绝,再审核,再拒绝呢?

    非著名程序员

扫码关注云+社区

领取腾讯云代金券