文章总结： 本文总结了首次安全闭门交流会，涵盖Electron邮箱客户端信息窃取、SPF配置风险、云存储桶枚举工具开发、小程序越权漏洞、DedeCMS远程命令执行0day及小程序加解密技术等议题。旨在建立良性的技术分享生态，参会者反馈积极，后续将定期举办。
综合评分： 78
文章分类： 漏洞分析,WEB安全,实战经验,云安全,逆向分析
第一次交流会会后总结
秋风
秋风的安全之路
2025年10月7日 22:28
北京
交流会：本着人人为我我为人人的思考出发，让每一个师傅都尽可能的相互学到更多的知识，包括但不限于src，红队，ai等方面开展分享，尽量不以ppt的形式呈现，，会议不设置旁听席位！为闭门会议，听会者(包括我本人)均需自备议题/分享 并审核，并暂定隔一段时间就开一场
我的出发点也只是想把这个氛围带动起来，每个人闭门造车都很难受，因为很多师傅不确定或者确定自己的分享议题可能会比较简陋，所以我不把他叫做什么沙龙之类的，鼓励各种议题分享，只要是可能会有价值的思考都值得被展现出来
尝试带动一些刚入门的师傅突破自己来分享议题并学习，实现类似吐司论坛那样子的良性循环
时间2025年10月7日 整体交流时间2H
会议议题：
某某邮箱客户端日掉收件人-秋风
邮箱安全之SPF配置不当的安全风险 –清凉禹
二开存储桶枚举工具java2s3 自动化刷到三本edu证书 –云泊
小程序到web，快速测出越权–大概
DedeCMS V5.7.117及以下版本命令执行–纸豪 （0day首次公开）
jsrpc+yakit热加载微信小程序加解密 –差不多的张三
参与过的师傅可以无条件参加后续的交流会
非常感谢以上的师傅愿意无私的分享，共同探索良好的技术分享交流生态
AI会议总结(内容不准确 只作为留存使用)：
- 客户端安全：某某邮箱客户端信息泄露
-
客户端基于Electron框架，内嵌两个Chrome实例分别用于文件预览和邮件源代码编辑。
-
通过在外联文件中注入object标签和about:blank页面，成功探查到客户端泄露的敏感信息，包括用户Token、个人信息、鉴权记录等。
-
尝试多种远程利用方案（如自定义协议、恶意附件）均未成功，最终通过Image标签onerror事件配合URL编码绕过长度及斜杠截断限制，实现信息窃取。
- 邮箱安全：SPF配置不当的风险
-
SPF（Sender Policy Framework）是DNS记录，用于验证发件人IP地址是否被授权，防止邮件伪造。
-
当SPF记录缺失、配置错误（如使用软失败、授权范围过宽）或语法不规范时，成为邮件钓鱼攻击的有效突破口。
-
实践中发现部分企业邮箱未严格校验SPF验证状态，恶意使用配置不当的域名可成功发送伪造邮件。
-
附：SPF记录可提供临时MTA（邮件服务器）服务，可用于邮箱验证或渗透测试。
- 云存储桶枚举
-
使用改造的Java脚本工具，自动化枚举国内各大服务商（如阿里云、腾讯云等）的COS/Bos兼容存储桶。
-
通过对高校、研究院等网站的服务端JS代码进行遍历分析，探测到存储桶权限异常（如put访问），并利用此漏洞上传恶意文件。
- 小程序安全：Token越权访问
-
发现小程序”手机号快捷登录”功能获取的认证Token，在Web管理后台无有效权限限制。
-
攻击者可利用盗取的Token，通过Google API搜索到后端系统接口，通过替换响应包实现直接登录后台，进而批量测试越权权限。
- Web应用安全：织梦DedeCMS命令执行漏洞
-
分析DedeCMS 5.7.x版本安全漏洞，根源在于xxxxxxxxxxxxxxx。
-
漏洞指出：xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
-
另一种方法xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx最终实现远程命令执行。
- 小程序安全：动态与静态代码解密
-
动态调试：在微信小程序运行过程中，通过调试日志定位解密流程。将动态生成的密钥写死，再通过GSRPC+压测工具，将加密后的请求体（JSON数据包）解密为明文，实现对请求参数的实时修改和重放。
-
静态分析：针对VMProtect混淆器的静态保护机制，通过分析其加密库（xmp.dll），提取固定的Secret Key与IV，成功解密请求中的AES加密数据，并绕过签名验证逻辑，实现在不运行程序的情况下破解加密请求。
各位师傅的点评体验如下：
会后分享:
第二次交流会时间暂定 投稿师傅会提前一周时间通知时间
qq群号：1057723201 如有意愿请联系群主
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：秋风的安全之路 秋风《第一次交流会会后总结》