1、明文或弱加密传输用户名、密码和验证码等敏感信息
整改优先级：高
问题描述：用户登录过程中，在与服务器端交互时明文或弱加密传输用户名、密码或者验证码等，可导致用户敏感信息泄露。
检测方法：利用burpsuite对被测应用进行监听，点击登录或修改密码，请求将被网络抓包工具监听拦截，如果网络包中敏感信息使用了明文或者MD5、Base64等弱加密方式进行传输，则该处具有风险。
检查工具： Fiddler、Burpsuite等。
整改建议：在被测应用与服务器交互过程中，对用户名、密码和验证码等敏感信息进行有效加密传输。
2、未使用有效的Token机制，导致可以绕过鉴权
整改优先级：高
问题描述：如果被测应用没有使用有效的Token机制，对登陆响应中的服务器返回的鉴权信息进行修改，即可绕过服务器鉴权，直接访问系统内部信息。
检查方法：
- 利用网络抓包工具监听登陆响应，对登陆响应中的服务器返回的鉴权信息进行修改。
-
修改后成功绕过登录界面，进入应用界面。
检查工具：Fiddler、BurpSuite等
整改建议：使用有效的Token机制进行鉴权。
3、文件上传漏洞
整改优先级：高
问题描述：如果小程序中存在上传接口，且接口没有严格限制上传文件格式，则该处可能被恶意上传木马文件，导致服务器被控。
检查方法：利用网络抓包工具对被测应用进行监听。对具有上传功能的模块进行抓包，修改请求中的文件后缀名，看是否能成功上传。
上传图片功能接口，将json文件后缀修改为.jpg后进行上传操作，burpsuite拦截上传接口请求，将文件改回json，上传成功。
检查工具：BurpSuite等文章来源：https://www.toymoban.com/news/detail-492907.html
整改建议：客户端限定文件上传格式，服务器对上传文件格式进行检测，不使用已知存在漏洞的低版本编辑器，不授予上传文件目录下文件可执行权限。文章来源地址https://www.toymoban.com/news/detail-492907.html
到了这里，关于小程序安全检测（一）的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！
