小程序渗透测试实战 – 优惠券接口安全漏洞挖掘

本次渗透的是一个购物网站小程序，很多接口都包含coupon参数

接来下大家有啥思路？我的思路就是反编译找包含这个coupon的其他接口，直接使用工具fine反编译

反编译文件直接用微信开发者工具打开，定位到包含coupon参数的接口，大家对下面接口敏感不：1、receiveCoupon接受优惠（大概率是个优惠券领取接口） 2、templateIds此参数可爆破

接下来呢？看过我前几篇文章就知道了，无非就是构造数据包，让ai生成爆破的脚本，数据包已经构造完毕

打开我的kfc助手deepseek，提示词如下，人有多大胆，地有多大产。我主张数值尽量爆破全面，要到万级别，甚至是百万 大部分都是领取不成功的 但是！！！但是！！ 还是成功领取成功几张，说明此接口可以遍历优惠券 哎，最终也是给了个低危 换换kfc口味