看人文网安如何玩转“羊了个羊”

近期，“羊了个羊”大火，多少人因为它气恼，那么攻略这不就来了！下面带领各位新同学来以网络安全的角度来攻破“羊了个羊”，

首先我们需要使用抓包工具，通过抓包工具来了解羊了个羊前后台的交互是什么样的。

“羊了个羊”通关攻略

工具fiddler。下载地址:fiddler

工具调试

点击tools中的options。

全部勾选上

点击trust

然后就可以愉快地抓包了

用电脑版微信打开小程序(必须是5.5以及以下版本的微信，不然无法抓取小程序数据包)

低版本微信下载地址:下载微信

打开小程序后，我们进入关卡可以找到如下两个数据包。***[在左边的框框里面，有时候url一栏显示不全，需要在上面手动调整宽度]***

显然这是地图数据包，抓到地图包后我们直接在fiddlerscript中找到 OnBeforeRequest 类 在其中加入

if (oSession.url=="cat-match.easygame2021.com/sheep/v1/game/map_info_new?map_id=90017") {            oSession.url = "cat-match.easygame2021.com/sheep/v1/game/map_info_new?map_id=80001";        }

如图所示

【注意】:这里每日地图包的名字会和日期相关，每日都是动态的，所以需要自行改动指令！！把指令内部的url改为地图包路径。

然后重启游戏，你就会发现，过两次第一关就通过游戏啦！

刷通关记录

通关之后发现该数据包，按r重放就行了，重放一次就是通关一次

看到这里大家可能觉得重放要等太久，那么下面还有一种方法直接让你登顶朋友圈第一 经过不断测试，发现羊了个羊历史排行榜那块的交互逻辑是有缺陷的，他先从后台数据库拿到用户数据，然后放到前端里，之后还会做一次同步，并没有进行检验，由此我们可以通过修改他的第一次获取数据的响应包，然后后面的同步操作就会将数据同步到数据库上

我们利用burpsuit + Proxifer来进行修改获取历史排行榜的响应包

此时已经登顶第一，后面也会同步到数据库上，你的朋友也能看到你的分数，望着你的分数瑟瑟发抖。

声明：本网页内容旨在传播知识，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。E-MAIL:704559159@qq.com