最近研究‘微信小程序’底层代码，发现漏洞，获取一部分私有 api

[bimbaloo]

最近研究微信小程序底层代码，发现漏洞，获取一部分私有 api

---

微信小程序黑科技，有兴趣可以，搜巧思天气助手，流程语 tab，顶部点搜索“这 666666”，再点击这 666666 的搜索结果，体验。

大概有以下几个常用的实用的：

• 打开地图选择位置，不需要定位权限
• 获取公共库版本
• 重新进入小程序
• 小程序账号信息
• 隐藏右上角胶囊
• 显示 /隐藏状态栏
• 显示 /隐藏虚拟的底部导航栏
• 关闭小程序
• 打开网页
• 静默复制
• 静默跳到其他小程序
• 关注公众号
• 打开公众号
• 页面主动拉起分享朋友圈，支持 ios
• 页面主动拉起分享好友 /群，支持同一页面分享不同内容,获取分享成功失败状态
• 页面主动收藏小程序，支持 ios
• 页面主动切换竖横屏 landscape/portrait

最后问下，大家觉得这些 api 有什么用呢？

微信有部分基础库已修复该漏洞

[JetMac]

点了完全没反应

[NPC666]

我先来，张小聋死🐴

[GOKOG]

点了 [666666 的搜索结果] 没有反应

[myd]

api 列表点了完全没反应

[mclxly]

官方随时出布丁，折腾不出啥

[fffang]

小程序也没开源，咋研究的？

[bimbaloo]

@GOKOG 是 这 666666 不是 666666

[bimbaloo]

@fffang 微信开发工具代码报错时可以拿到底层的源码

[w88975]

我怀疑你在给自己的小程序引流, 没有一个 API 是有用的

[baoei]

是已被修复了么? 没一个生效的

[abcbuzhiming]

没啥意义，你研究出来又咋样？一个版本更新就可以让你全失效，而且你未经别人同意调别人的接口，腾讯这种级别的企业反手一个非法入侵控制计算机系统罪就可以让你吃不了兜着走。玩这种的都是灰产性质，要么就不公开，公开的很快就会失效

[cydysm]

没有有用的 想举报小程序了

[4ark]

引流...

[mxT52CRuqR6o5]

@w88975 没一个能用的+1
就算你真能调用，微信小程序又不是不审核可以直接上架的

[RiESA]

南山法院见

[GOKOG]

试了一下，大部分的确可以 ios

[GOKOG]

@mxT52CRuqR6o5 我试了一下大部分的确可以啊。ios 设备，小程序审核也有疏漏的情况

[GOKOG]

@bimbaloo 很 nice ～。如果老哥愿意分享一下的话就更棒了 😄

[mxT52CRuqR6o5]

@GOKOG 这种私自调用机器直接能识别出来，根本轮到人去用眼睛看

[GOKOG]

@mxT52CRuqR6o5 但是楼主的小程序确确实实通过审核了啊，而且刚才在我 ios 设备上大部分功能都可以使用

[mxT52CRuqR6o5]

@GOKOG
我的意思是指腾讯现在没做不代表做不到

[hushao]

小龙警告⚠️、南山必胜客正在赶来～

[yEhwG10ZJa83067x]

安卓没有一个有效

[fengdechoulian]

安卓没反应

[GOKOG]

@mxT52CRuqR6o5 噢噢，是的。如果入口没有这么隐蔽可能审核就会被拒了

[alogbycat]

iOS 全都没反应... 8.23 11:52

[xmmmm]

iOS 没反应

[anzu]

打开网页和公众号不是公开的 API 吗

[youyang]

有可能是推广软文

[rocy]

列表可以出来 但点击任何一个都没反应，ios 和安卓都是

[manmuy]

测试安卓端可以 ios 报错 这些接口确实挺有用的
打开
分享
静默
这几个每一个都能实现一些骚操作了

[netwjx]

本来就有很多 api, 没写到文档中

有些用处, 但对于常规应用没卵用, 还不一定全兼容

[RyanOne]

iOS15 Beta6 版本 8.0.10 所有插件列表点击 都没有反应 ,倒是 电脑版 ,点击还能有几个能用

[oIMOo]

iOS 14.7.1 + 微信 8.0.12 全部不能用
macOS 10.15.7 + 微信 3.1.5 (18851) 至少以下几项可以：关闭小程序、打开网页、静默跳到其他小程序、页面主动拉起分享好友 /群可以使用

[bimbaloo]

拼夕夕也用了许多官方文档没公开的 api