在一些关键业务接口通常会对请求参数进行签名验证，一旦篡改参数服务端就会提示签名校验失败。在黑盒渗透过程中，如果没办法绕过签名校验，那么就无法进一步漏洞检测。
微信小程序的前端代码很容易被反编译，一旦签名加密算法和密钥暴漏，找到参数的排序规则，那么就可以篡改任意数据并根据算法伪造签名。
01、常见签名算法
首先呢，我们需要注意的是，加密和签名是两回事，加密是为了防止信息泄露，而签名的目的是防止数据被篡改。
哈希算法的不可逆，以及非对称算法（私钥签名，公钥验签），为签名的实现提供了必要的前提。
常见的签名算法，如MD5、SHA1、SHA256、HMAC-SHA1、HMAC-SHA256、MD5WithRSA、SHA1WithRSA 、SHA256WithRSA等。
各种签名示例如下：
02、RSA签名绕过
比如在一个微信小程序游戏的场景里，用户在游戏结束的时候，需要将游戏成绩发送到后端，以此来记录玩家的分数。因调用API时对请求参数进行签名验证，服务器会对该请求参数进行验证是否合法，所以当我们尝试去篡改游戏成绩的时候，就会提示签名异常。那么，该如何破局呢？
（1）微信小程序反编译解包
使用模拟器获取微信小程序的.wxapkg包
使用反编译脚本解包，获取小程序前端源码。
（2）逆向破解小程序参数签名
将小程序的前端代码复制到本地，全局搜索关键字，因关键js代码未作混淆加密，很容易就获取到了RSA签名算法和私钥。
最常见的是根据参数名称将所有请求参数按ASCII码排序，而在这里我们很容易地就可以从前端代码里获取到参数顺序。
（3）利用rsa签名伪造Sign
成功伪造签名篡改游戏成绩。
标签：验证,微信,程序,算法,参数,签名,篡改,绕过 来源： https://www.cnblogs.com/mutudou/p/16433795.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。