实战 | 渗透某游戏、拿到充值权限

写在前面的话

因法律原因，本文中所提及技术的关键步骤已省略，且在无危害的封闭环境下模拟进行。本文仅供技术交流，请勿用于商业及非法用途，如产生法律纠纷与本人无关。

很多文章不能更新至CSDN，可以关注我的同名公众号（程序员启航）

一直找不到目标站点,昨天下午收到的一条微信之后突然有了目标

还是老规则 下载了APP 这里提示下注意事项

因为这种APP是自动采用微信账号登录 且苹果手机登录前需要申请数据网络权限

所以在进行抓包前 ，需要先点开APP给予数据网络权限并提前登录微信账号(设置代理之后无法登录微信

进入APP后、 首先对APP内部通过http请求获取或得到数据的接口进行了测试， 也测试得到APP走http请求的IP为 ，阿里云服务器IP地址

注意事项 碰到阿里云服务器(不要进行端口扫描,不要进行网页路径探测)

因为这两点都会让阿里云封你的IP 首先对反馈接口进行了抓包 丢入了XSS