微信小程序任意手机号登录漏洞原理与修复方案

若后端仅校验解密结果而不校验 sessionKey 的来源合法性，攻击即可成功。

4. 代码实现

以下是一个基于 Python 的解密与重加密示例，用于演示漏洞原理。实际环境中请勿滥用。

import base64
from Crypto.Cipher import AES
from Crypto.Util.Padding import unpad

# 模拟从请求包中提取的参数
session_key = "your_session_key_here"  # 需替换为实际获取的 sessionKey
iv = "your_iv_here"                   # 需替换为实际获取的 iv
encrypted_data = "your_encrypted_data_here" # 需替换为实际获取的 encryptedData

try:
    # 解码 Base64
    key = base64.b64decode(session_key)
    iv_bytes = base64.b64decode(iv)
    data_bytes = base64.b64decode(encrypted_data)

    # 创建 AES 解密器
    cipher = AES.new(key, AES.MODE_CBC, iv_bytes)

    # 解密并去除填充
    decrypted = unpad(cipher.decrypt(data_bytes), AES.block_size)
    
    # 输出明文
    print("Decrypted Data:", decrypted.decode('utf-8'))

except Exception as e:
    print(f"Error: {e}")

若要实施攻击，需在解密后修改 JSON 中的手机号字段，再使用相同 Key 和 IV 进行加密替换。

5. 修复方案

针对此类漏洞，建议采取以下措施：

5.1 服务端验证

不要完全信任客户端传来的 encryptedData。最安全的做法是：

1. 前端只发送 code 给后端。
2. 后端使用 code 调用微信 API 获取 openid 和 session_key。
3. 后端使用自己的 session_key 解密 encryptedData（如果必须传输用户信息）。
4. 严禁将 sessionKey 返回给前端。

5.2 签名校验

对于关键操作，建议增加签名校验机制。确保请求数据未被篡改，且来源可信。

5.3 最小权限原则

仅收集业务必需的用户信息。避免过度依赖微信提供的手机号接口，可引导用户手动输入或通过其他安全渠道验证身份。

6. 总结

微信小程序的任意登录漏洞本质上是会话管理不当导致的信任链断裂。开发者应严格遵守微信官方安全规范，确保敏感密钥不落地到客户端，并在服务端完成所有核心解密与验证逻辑。