公众号渗透测试

公众号后台的公众「草稿箱」里躺着一篇未发布的推文，阅读量是号渗0。但它的透测真实访问者，可能比你想象的公众要多得多。

上周帮朋友排查一个公众号异常，号渗发现后台登录日志里有个陌生IP，透测归属地是公众广东某市，而朋友的号渗运营团队全在上海。顺着这个线索查下去，透测问题出在他三个月前用过的公众第三方排版工具——那工具要求授权公众号管理员权限，他当时没多想就点了同意。号渗授权记录里，透测那个第三方应用至今还挂在他公众号的公众「已授权」列表里，从未被清理。号渗

这不是透测孤例。公众号渗透测试里，最常被忽略的入口就是「第三方授权」和「素材库」。很多人以为公众号安全就是密码够长、开启登录保护，实际上真正的风险在那些你早已忘记的开发者权限里。

拿素材库说事。公众号后台的图片、音频、视频素材，默认是公开可访问的。只要拿到素材的URL，任何人都能直接打开，不需要任何鉴权。有个做美食号的博主，她的原创菜谱图片全部存在素材库，被同行直接抓取去做了伪原创，连水印都没去干净。更危险的是，如果运营者不小心把含有敏感信息的截图也传进素材库——比如后台数据截图、未打码的身份证照片——那这些资料就等于裸奔在网上。

再说回后台。公众号的「自动回复」和「自定义菜单」接口，是渗透测试里常被试探的地方。攻击者会尝试往这些接口里注入恶意代码，比如在自动回复的文本里拼接HTML标签，或者把菜单的跳转链接换成钓鱼页面。我见过一个案例，某公司的公众号菜单里有个「员工查询」功能，跳转到的是公司内部OA系统。攻击者伪造了一个外观一模一样的OA登录页，然后把公众号菜单的链接悄悄替换掉，员工点进去输入账号密码，全部被截走。

这种攻击不需要多高深的技术，核心就一条：找到公众号运营链条里那个「信任的缝隙」。缝隙可能出现在第三方编辑器的授权页面，可能出现在素材库的URL分享，也可能出现在运营者手机上的公众号助手App——那个App如果开了「扫码登录」且没设置有效期，手机丢了就相当于把后台钥匙丢了。

给个实在的建议。每季度去公众号后台的「设置与开发」-「第三方授权」里翻一遍，把不用的应用全部取消授权。素材库里的图片不要用默认的文件名，上传前用随机字符串重命名，至少能挡住那些用爬虫批量扫URL的脚本。还有，公众号的登录密码和邮箱密码千万别设成同一个，我见过太多人因为邮箱被攻破，攻击者用「找回密码」功能直接接管了公众号。

最后说个细节。公众号后台的「操作记录」里，其实会记录每一次登录的IP、时间和设备。但大多数人从来不看这个页面。你花十分钟翻一遍，如果发现某个凌晨三点、来自陌生地区的登录记录，那你的公众号可能早就不是你的了。