永安在线：基于微信小程序生态体系的黑灰产研究报告（27页）.pdf

1、随着小程序的攻击案例越来越多，小程序安全已经逐渐引起业务方和安全行业的重视。相比于 App 和 Web 应用，小程序带来了一个新的攻防平面，其难点在于：已有的一些防护方案不能有效的运用到小程序上，导致达不到理想的防护效果，例如以下方案：设备信息是业务安全风控的重要输入参数。设备指纹能否取得比较好的效果，取决于采集的信息是否可以形成该设备的唯一 ID，以及可以判断该设备是否存在风险。出于权限和隐私等安全方面的考虑，小程序可以采集到的设备信息并不多，能采集到设备信息，比如品牌型号、屏幕大小、分辨率、电量、网络类型等，无法形成唯一性强稳定性好的设备ID，也无法借助这些信息来判断设备是否存在风险。同时

2、，由于目前黑灰产攻击小程序基本采用的都是协议攻击，黑灰产可以在发起的业务请求中随意伪造设备信息，这使得设备指纹在小程序防护上的效果微乎其微。通过人工或自动化的方式对小程序前端和后端进行扫描，检查是否存在 SQL 注入、XSS跨站脚本、目录遍历、信息泄露等应用漏洞。然而当前黑灰产针对小程序的攻击，几乎都不是通过应用漏洞进行攻击。黑灰产伪造业务请求发起的自动化攻击，其产生的机器流量，没有携带任何漏洞特征或恶意代码，和正常的请求并无差异。安全扫描可以提早发现小程序中的漏洞，避免遭受漏洞攻击;但对于非漏洞的攻击，则起不到任何防护作用。安全加固指的是对小程序的前端代码进行一系列的混淆和变换，在执行逻辑不

3、变的前提下，降低其可读性，提高攻击者分析前端代码逻辑的难度，从而保护小程序的安全。常见的变换手段有：字符串加密、变量名混淆、插入垃圾代码、调用等价变换、控制流平坦化等。安全加固确实可以在一定程度上提高攻击门槛，劝退菜鸟级黑灰产，但仍然难不倒技术实力强的黑灰产。而且小程序主体的代码逻辑基本上不会发生大的变化，所以破解是一次性的，只要收益足够大，破解所需要的时间成本对于黑灰产来说是可以接受的。此外，安全加固必然会带来一定程度上的性能损失和稳定性下降，也不方便调试，因此目前并没有被广泛使用。我们随机选择了 30 款小程序作为分析目标，对这些小程序进行反编译后，发现没有 1 款小程序对代码做了混淆加固

4、，情况不容乐观。对于重要业务接口的访问进行签名校验，是抵御机器流量的有效手段之一。最常见的方法是在接口请求参数或者请求头中携带一个签名 signature(或者叫令牌 token)，签名在小程序前端由具备一定强度的算法生成，小程序后端根据对应的算法校验签名的合法性，若校验失败则拒绝响应本次请求。对于小程序主要面临的协议攻击来说，确实可以提高攻击门槛。但问题在于攻防的不对等。由于小程序代码无法实时更新，签名算法一旦被破解，需要等到小版本发布新的版本才能升级新的签名算法。发布新版本很多时间需要服从产品计划，而且需要经过完整的测试，这往往会给黑灰产留下足够的攻击时间，防护效果大大折扣。由于已有的这些防护方案，防护效果都比较有限，因此我们需要考虑小程序自身的特性，结合黑灰产攻击情报和案例的分析，量身打造适用于小程序的安全防护。