怎么得到微信摇一摇一等奖 入侵渗透作弊介绍
互联网 & 07-23 14:03:29 & 作者：佚名 &
最近参加了一个夜跑活动，活动结束后到终点扫描二维码摇一摇，所有人都摇到了纪念奖。可是我想要一等奖啊！谁不想在摇一摇里得到一等奖？一起来看看下面这位黑客的做法，能给你带来什么启发，或者应该怎样防御这样的攻击
最近参加了一个夜跑活动，活动结束后到终点扫描二维码摇一摇，所有人都摇到了纪念奖。可是我想要一等奖啊！谁不想在摇一摇里得到一等奖？一起来看看下面这位黑客的做法，能给你带来什么启发，或者应该怎样防御这样的攻击。
起因：公司年会活动，[微信摇一摇]，第一者给予xxx奖励。
流程:微信公众号关注，回复摇一摇文字返回连接地址，点击连接地址进入活动，后台开启活动后玩家开始摇。
1.微信摇一摇活动是第三方开发的应用，微信公众后台进行绑定。(已知是上海某家平台)
2.暂不知道原理，要通过抓包进行分析。
1.手机代理：简单描述下过程。手机连接wifi代理到电脑，电脑要和wifi在同网络。 也可以电脑开热点，然后监听热点截取封包。
2.本地抓包工具：fiddler我喜欢用它。端口监听要和手机代理填写的一致
3.准备完成后开始关注公众号，发送摇一摇，返回连接地址。
　　抓取到第三方平台连接地址。
　　过程大概如下，先授权登录。get参数。 token是唯一的，是公众账号唯一标识
　　通过摇一摇发现活动是基于post请求来达到次数的记录看图。 (摇取一次就会记录保存一次，当摇取到指定次数，活动结束，评选出第一名)
　　其中openid是唯一的，也是用户标识。经过与其他人的对比发现，变量只有这个。更加确定这就是我唯一的标识。下面的totalscore参数就是总次数。
　　通过fiddler工具的重放攻击，达到了想要的效果。
　　近一步测试确定了效果，也分析了该活动的玩法原理(一天280元)。
　　唯一id和唯一标识都不变，每次只需要重放post的包就可以。
　　为此我专门截取了这次的封包(我和朋友的)在活动的时候进行重放攻击。获得了第一名，在分析的过程中发现了漏洞。
　　摇一摇的过程中可以查看排名，通过抓包看出get请求的参数。
　　大概意思：m=活动标识 a=请求内容 token=微信公众号标识 openid=玩家id。
　　再次拦截修改了微信公众标识发现返回信息报错(显错注入)
　　用浏览器近一步查看出现：请您在微信浏览器中打开
　　突破非常简单，还是看抓包的请求头，USER-Agent
　　复制一份火狐浏览器伪造一下就好了。
　　直接爆除了sql语句和路径。
　　F:\websoft\web\sXXe_guanwang\Common\runtime.php
　　用了windows免py环境的sqlmap不好用，去官方下载了一份sqlmap。装了环境跑了一下。
　　找到了官方网站，发现是基于小猪那样的框架开发了，随手admin.php。跳转了后台。
　　找了下密码登录进去看了下，后台好破，不过好像不是那个后台。
　　用其他工具跑呢root的密码解不出来。扫描了一下端口发现8080
　　phpmyadmin 由于解不出来密码无法登录，写不了shell。翻了翻库，乱七八糟的。阿里云的主机。
　　mysql没有开启外联，无法hash登录。也没心情继续下去了。
　　其实此次并没有攻击的目的，而是为了分析原理和拿到第一才弄的。同时把这个摇一摇的实现过程分享给大家，一天是208元，目前有1770个会员。大家猜呢。这是商机呀。
　　由于在比赛过程中被发现作弊，现在已经取消了我的排名。 人家才摇一下我直接80下了，没有合理安排攻击过程，导致全体员工质疑。
　　要知道我在的可是互联网公司，那一个屋子的程序员都不是吃白饭的，以后记得，如果年会摇一摇一等奖被程序员得了，就要怀疑他是不是作弊。
大家感兴趣的内容
12345678910
最近更新的内容现场嗨翻天年会微信摇一摇
如何给公司策划一场高逼格的年会并不是一件简单的事情，互动+创新是必要条件，大家都不是专业的演员，演讲或者表演难免会出现紧张，由于紧张可能就会导致忘词，无法保证质量。
真人秀、小品剧大多也都相近，玩的新鲜花样，员工满意，给老板省钱就是最终极的目标。年会微信摇一摇让参会人员通过微信摇一摇就能实现签到上墙的功能。
微信摇红包，投票，抽奖等游戏，多种多样，让所有的员工都参与进来，共同游戏、互动，将欢乐分享给朋友和其他人，感受到快乐。
年会是一个公司一年之中非常重要的事情，起到承上启下的作用，总结一年的不足，寻找明年新的突破，然所有的员工对生活都充满热情，让员工对公司充满激情和希望。
技术支持:400_633_2507.企业客服扣扣:。
责任编辑：
声明：本文由入驻搜狐号的作者撰写，除搜狐官方账号外，观点仅代表作者本人，不代表搜狐立场。
今日搜狐热点热点搜索：
重要的事情说三遍，公司年会后有件事儿你得做！
知己知彼，百战不殆，找到竞争优势，打造核心竞争力，有助于更好实现目标。
　　是的，年终了；是的，热闹的年会开完了；是的，或厚或薄的年终奖也到手了；要回家过年了？No，不管你是老板、高管还是普通员工，还有一项重要的事情要做，没错，就是新年计划！
　　在世界经理人网站论坛上，一条询问怎样制定年度计划的帖子，人气爆棚，有18638位用户点击，并有近百位用户发表自己的看法参与讨论。可见，新年计划是多么重要的一件事！
　　首先，为什么新年计划这么重要呢？
　　俗话说：一日之计在于晨，一年之计在于春。年会上，大多已经做完了去年的总结，年终奖的多少，对员工来说是辛苦一年的回报；年终奖能发多少，对老板来说，也是一年辛苦经营结果的体现。辞旧迎新的时刻很快就要来了，如果你没有做好新年计划，是不是有点不安呢？
　　好啦，其实大家都知道计划很重要，只是有时候会想：要不要等等再做呢？计划不如变化大，做计划还有意义吗？告诉你，不可以！有意义！因为正如维克托&雨果(Victor Hugo)所言：&如果不制定计划，对时间的支配就完全受制于事件的概率，混乱很快就会来临。&不管如何实施，我们的确需要一种方向感，带领我们走出人生的迷宫。
　　如果不想在混乱中开启新的一年，不想在浑浑噩噩中过完新的一年，新年计划必须要提上日程，尽快制定。那么，新年计划要怎么做呢？
　　第一，解析你所处的环境和你自己！
　　人是社会关系的总和，你总是处于各种各样的环境里，这些环境会影响你的计划方向和计划执行的难度与最终达到的效果。所以，你要先解析你所处的环境。而，知己知彼，百战不殆，找到竞争优势，打造核心竞争力，有助于更好实现目标。怎样才能科学地分析环境呢？运用SWOT来分析；如果是分析企业，还需要加上PEST。
　　SWOT分析法是通过确定自身优势（Strength）、劣势（Weakness）、机会(Opportunity)和威胁（Threat），了解内外部的环境，达到资源合理配置的一种分析方法。这种方法最早是由美国旧金山大学的管理学教授在上个世纪80年代初提出来的。其实，我们的祖先早在两千多年前就已经会使用这种方法了。
　　说个家喻户晓的故事。战国时期，齐国将军经常与诸公子赛马。有天，他和齐威王约定进行一场比赛，结果比赛了几次田忌都失败了。好友孙膑发现他们的马脚力都差不多，就帮田忌出了个主意：用下等马对付齐王的上等马，拿上等马对付齐王的中等马，拿中等马对付齐王的下等马。三场比赛完后，田忌一场不胜而两场胜，赢得了齐王的千金赌注。
　　确定自身优势、劣势、机会和威胁，合理配置资源，才有可能制定一个合理的新年计划和目标。PEST分析更是对对外部环境敏感的企业制定新年计划极为关键。PEST为一种企业所处宏观环境分析模型，所谓PEST即 Political（政治），Economic（经济），Social（社会）和 Technological（科技）。
　　第二，防止心智模式钝化！
　　我们先来听个故事吧。据《吕氏春秋&任数》记载，孔子曾绝粮于陈、蔡两国之间，七天七夜米粒未进，只好无精打采地躺在那里睡大觉。此时，他的弟子颜回从外面找来了一些米，烧火做饭，煮到快要熟的时候，抓起一把就吃。孔子悄悄地看在眼里，觉得颜回有些失礼，不太高兴。过了一会儿，饭熟了，颜回请孔子先吃，孔子对他说：&我刚才梦见先君了，应该把干净的食物献给他们吃。&颜回立即回答道：&那可不行！刚才有土灰掉进锅里，弄脏了饭，我抓出来吃了。&孔子才知道自己错怪了颜回，事后，感叹道：&我相信自己的眼睛，但眼睛看到的东西有时却并不可信；我用心去思考，但心有时也是靠不住的。弟子们，一定要记牢呀！&
　　孔子之所以错怪颜回，是相信了自己的眼睛和心，但这两样其实并没有那么可靠。就像我们在做新年计划时，往往会惯性思维，即便是分析了环境，仍有可能因为相信自己的直觉和经验而做出不太合适计划。这是心智模式钝化的体现。
　　新年计划需要理性思考，再介绍一个工具给大家&&六顶思考帽。六顶思考帽是英国学者爱德华&德&博诺博士开发的一种思维训练模式，或者说是一个全面思考问题的模型。任何人都有能力进行以下六种基本思维功能，可以用六顶帽子来做比喻：
白色帽子：中立而客观，代表事实和资讯。侧重于用数据说话。
黄色帽子：代表与逻辑相符合的正面观点。侧重于提取事物的积极因素。
黑色帽子：意味着警示与批判。侧重于提取事物的消极因素。
红色帽子：代表感觉、直觉和预感。具有形成观点和感觉的功能，主观意识。
绿色帽子：代表创意。侧重解决问题的创造性方案。
蓝色帽子：掌控，管理整个思维进程。
　　第三，合理的目标要伸手不及、跳而可得！
　　新年计划里，目标是最重要的，它指引了新年方向。结合周遭环境与自身现状，运用理性思维，给自己/公司定下一个合理的新年目标吧。所谓的合理目标，需要伸手不及、跳而可获。目标过低，激励性不足；目标过高，容易陷入好高骛远。同时，还要注意目标的可预期性及量化标准。
　　对于给企业做新年计划的老板们来说，制定目标的其中一项重要工作就是发现关键性目标，识别关键流程，进而进行修正或者清*理。不妨运用矩阵工具来做。横轴表示绩效高低；纵轴表示重要性高低。重要性高而绩效低的就是需要立即调整的关键流程；重要性高且绩效高的则需确保当前绩效；重要性低且绩效低的可以暂时不予考虑；重要性低而绩效高的就无需考虑调整了。
　　个人目标无需多，但要确保每项都是新年里亟需完成、急待提升和对未来有重大意义的。而不要拉拉杂杂一大堆，到年终总结的时候，发现这些规划都是&鬼&划。总之，所有的计划/规划/战略，归根到底，都是取舍问题。而，选择不做什么比选择做什么更加重要！本文作者Amber，世界经理人原创，如需转载请联系微信公众号（ID：CEC_GLOBALSOURCES）授权，未经授权，转载必究。本文版权属于世界经理人网站()所有，未经授权，任何企业、网站、个人不得转载、摘编、镜像或利用其它方式使用本文。经授权使用文章的，应在授权范围内使用，并注明“来源：世界经理人()”、图文作者信息及本文链接，同时不得将授权文章提供给任何第三方，违者本网将保留依法追究的权利。
微信公众号
微博订阅号
从知识到智慧，从领悟到洞察
碎片时间，成长不设限
企业广告资讯
世界经理人3/4月刊杂志文章
世界经理人网站App下载
热门排行榜