在今年的两会上,与微信小程序有关的是外交部部长王毅表示会在两周后推出12308微信版。此后,在3与22日,“外交部12308”正式上线。而两会上另一个话题——互联网安全,也不可避免地让人联想到现在“即用即走”的微信小程序。
微信小程序不用安装,有的扫码就能用,有的要在微信中搜索进入,而这种方便快捷的使用方式是不是真的就能减少安全隐患呢?
知道创宇在两会期间义务为党政府机关和企事业单位提供“微信小程序”安全测试。其中发现某大型企业的小程序存在遍历漏洞,可导致大量平台用户信息及订单信息泄露。
经测试,小程序在获取用户订单列表时直接使用PassportId参数进行查询,未验证查询参数PassportId是否与查询人会话身份(session)匹配,这样便导致可以通过修改PassportId值的方式获得其他用户对订单列表,从而获取用户信息。
针对该问题,知道创宇建议,在获取用户数据时添加会话验证,只允许读取当前登录用户的订单信息,由此有效避免个人信息泄露。
由此可见,小程序安全问题大有可观
安全服务团队结合小程序特点对小程序做了大量分析后发现,大部分小程序的开发者可能会在小程序编写上存在SQL注入、越权访问、文件上传、CSRF信息泄露等严重安全问题,一旦这些问题爆发,对财产安全、用户信息、用户信任度等方面都会产生极其恶劣的影响。
微信小程序使用便捷的特点,是用户接受小程序的最大原因。并且,微信小程序新增的对个人开发者开放注册小程序的功能势必会让无数的开发者尝试开发小程序,而一些并不严谨的开发者如果只为图快,不考虑安全问题的话,就会导致大量的微信小程序存在各种安全隐患。所以在图方便的同时,更要注重对信息的保护,那才是真正便民的小程序。
相关文章推荐
-
等我做公众号发财了.......
aa....
-
十三条从知乎引流微信的经验
本文来自公众号:姑婆那些事儿(ID:gupo520)作者:善小布文章打开率越来越低,从0起步的公众号往往是运营最难跨越的鸿沟。刚起步的微信公众号,没人关注怎么办?怎样获得初始的1000个粉丝?由于微信的闭环特性,所以大量粉丝需要从外部渠道导入。粉丝渠....
-
小程序丨没有它不行!这些小程序让你如虎添翼!
其实凡是有用的小程序都可以称之为工具,而工具则能够助你极为方便完成许多事情,例如健康自查、职场自我提升、轻松赚钱等等,堪称移动改变生活的典范。百万黄金屋百万现金等你来拿没有什么能够阻挡大咖们撒币的热情,在经历了一轮撒币后,小程序「百万黄金屋」也正式加....
-
文案解剖|引爆好文案的八大人性痛点?!
经常收到后台读者给七叔的留言:XXXX文案写得怎么样?什么类型的文案才能真正打动消费者,并为此埋单?优秀文案有什么规律可循么?显然,好的文案功底是优秀营销人必须具备的技能之一。在营销工作中,我们免不了要接触到客户邀请函,产品文案、品牌文案等。那么,究....
-
小程序丨微信小程序目前最大的问题是”无处可扫”?
!!,,201794.9%9.2%35.2%35.2%64.7%App11.5%而对这种情况微信团队并不是很在意而且还对微信小程序保持乐观的态度。并对外界称“小程序并不是外界理解的‘风口’或是‘巨大的流量入口,希望大家更多的扫码去获取小程序服务。就连....
-
40句有毒广告语,一句顶三军!
不知从什么时候起,品牌主的广告语越来任性了,尤以网综为代表的slogan更是画风清奇,酸奶说:奶后吐真言巧克力说:吃了就变逗比咖啡说:喝了才能愉快聊天梅小花也忍不住集结了各大自我放飞slogan来看看,究竟哪个更得你心?主要看气质篇产品即气质,气质就....