关于只能在微信打开的链接抓包

tfsn20 · 发表于 2022-11-23 13:54:20

本帖最后由 tfsn20 于 2022-11-25 22:01 编辑

发现青年大学习的cookie一天就过期了，想找找cookie怎们获取的。
链接: https://open.weixin.qq.com/connect/oauth2/authorize?appid=wxe3461d5cb3219371&redirect_uri=http%3A%2F%2Fhnqndaxuexi.dahejs.cn%2Fstudy%2Fstart&response_type=code&scope=snsapi_userinfo&state=oY2nL&connect_redirect=1#wechat_redirect
appid是公众号的唯一标识，state是随机的字母数字组合
在微信打开后发现重定向到了http://hnqndaxuexi.dahejs.cn/study/start?code=031tZF000IbjYO1lLx200EgyiG3tZF0Z&state=oY2nA。不知道这个code怎们拿到的，微信开发文档上说是code作为换取access_token的票据，每次用户授权带上的 code 将不一样，code只能使用一次，5分钟未被使用自动过期。这篇文章上说按 OAuth2.0 的协议约定，该 code 通过浏览器的 302 重定向发送给第三方应用，这意味着 code 值从浏览器就能看到了，非常危险。获取到code后面就有cookie了，那为啥抓包没有这个code值呢，求教各位哥哥们有什么方法没。
这个cookie很有意思，随意发起一个请求都能拿到cookie，关键是后面触发的反复重定向里code才会激活这个cookie，而code目前拿不到。可以看一下抓的包将下载的文件后缀.zip删去