网安人没吃过shi的可以挖挖gov小程序

    写这篇文章只是为了记录一件让我感到十分痛苦的事情。

    没想到啊，在这个月，作者接到了某市的政务软件渗透项目，包含各种app和小程序，令我感到痛苦的就是这个小程序啊。

    本来以为作者也是好起来了，可没想到啊，真的没想到......

    众所周知，在王者荣耀，没吃过shi的可以去玩玩coke

    可在网安行业，我可以告诉你，没吃过shi的可以挖挖政务小程序。

    我布道啊，第一次挖这玩意。

    首先就是有些小程序，不能重放包，好像是一秒一个口令（cookie或者token或者authorization会变化），这我能怎么办？bp用不了了.....

    其次，有些小程序，必须登录才能使用，然而登录需要内部账号，但是你又没有内部账号，这不就站在门外罚站吗？？？

    最后，本想挖挖sql，因为比较好挖，结果发现，小程序后端用的基本上是java，java啊，真安全哈哈哈哈哈哈，直接定义客户端传入的参数必须是字符串，而且客户端传参用的是json。

    那这时候就有大聪明说了，这有什么影响啊？不是照样挖吗？

    我只能说，单双引号和特殊字符算是直接失效了......

    当然本来还想挖fast json的漏洞的，也是因为这个挖不了了。

    哎，总的来说，挖政务小程序的洞，纯纯坐牢......