网络接单小程序管理系统：高效连接供需的一站式任务协作平台
一、概述总结网络接单小程序是一款专为服务型企业、个体工商户及自由职业者设计的轻量化线上订单管理工具。它基于微信超级APP生态开发，无需下载安装即可使用，帮助商家快速搭建从客户下单→订单处理→服务交付→售后评价的完整闭环。通过数字化接单流程，解决传统电话、微信接单效率低、易出错、难管理的痛点，实现业务线上化、数据可视化、管理规范化。二、功能介绍多端适配能力微信端：支持微信公众号+小程序双通道接入抖音端：兼容抖音小程序接口，实现短视频/直播带货后无缝接单H5移动端：非微信环境也可正常访问核心接单模块智能表单系统：自定义字段（服务类型、地址、时间、特殊要求），支持图文/视频上传实时订单推送：新订单微信/短信/语音多重提醒，响应率提升80%抢单/派单模式：灵活设置（家政类抢单效率更高，维修类派单更精准）价格计算器：根据服务时长、距离、难度系数自动报价订单管理中心状态机管理：待接单→进行中→已完成→已取消全流程跟踪地图导航集成：一键规划最优服务路线服务时间轴：记录每个节点操作人和耗时异常处理：支持改派、加费、延期等特殊情况处理支付与结算微信支付分/抖音支付：支持定金、尾款、全款多种模式师傅/员工分账：自动结算佣金，T+1到账优惠券/会员卡：灵活营销工具提升复购发票系统：电子发票在线申请与开具数据看板实时数据大屏：订单量、成交额、转化率一目了然员工业绩排行：服务量、好评率、收入多维度统计客户画像分析：地域分布、消费频次、偏好标签热力图：识别高频服务区域优化布点三、适用场景与行业价值适用场景家政服务领域：适用于保洁、月嫂、搬家、除甲醛等业务场景，主要解决阿姨资源分散、派单效率低、服务质量难监控等核心痛点。维修安装领域：涵盖家电维修、水电工、电脑IT等服务，针对性解决紧急响应慢、师傅位置难追踪、报价不透明等问题。物流配送领域：包括同城配送、跑腿代办等业务，有效改善路线规划不合理、空驶率高、客户催单频繁的状况。美业健康领域：适用于上门美甲、理疗、健身等服务，解决预约冲突、技师档期难协调、会员管理混乱等难题。企业服务领域：服务于广告投放、设计开发、咨询等行业，降低需求沟通成本，提升项目进度透明度，解决尾款难收问题。行业价值对商家：降本增效：减少1-2名专职接单客服，人力成本年省3-5万规模扩张：突破地理限制，一个坐席管理全城业务决策依据：数据驱动优化服务定价和资源配置对客户：体验升级：5秒下单，实时查看师傅位置，服务后评价信任增强：价格透明，服务标准可视化，纠纷有凭证对员工/师傅：收入增加：订单零距离，减少空驶，灵活抢单公平透明：按单结算，业绩可查，多劳多得四、常见问题解答（Q&A）Q1：我们已经有微信群接单了，为什么还要小程序？A：微信群接单的痛点是信息碎片化严重，无法统计和追溯。小程序能自动归档所有订单，生成财务报表，客户复购无需重复沟通地址等信息。当业务量超过20单/天时，小程序节省的时间成本远超使用成本。Q2：师傅不愿意使用怎么办？A：系统设计遵循"多劳多得"原则，师傅端操作简单（3步完成接单），且可实时看到收入。建议初期配合奖励机制（如首月接单补贴），并选择2-3个积极师傅作为标杆，用实际收入增长带动其他人。Q3：跟美团、58同城等平台相比有什么优势？A：平台模式佣金高达15-25%，且客户属于平台。小程序是自有流量池，0佣金，客户资产私有化，可通过会员体系、优惠券等工具深度运营。适合已有稳定客户基础的商家"去平台化"。Q4：需要技术团队维护吗？A：无需。采用SaaS模式，开通即用，服务器、更新、安全都由平台负责。后台操作像淘宝后台一样简单，普通文员1小时即可上手。如需定制功能，可联系微擎生态开发者二次开发。Q5：如何确保客户会主动使用小程序下单？A：提供"小程序下单立减10元"等首单优惠，将所有线下宣传单、车身广告、工牌都印上小程序码。关键是通过服务过程中的引导（如师傅现场说"下次小程序下单更优惠，还能攒积分"），3个月可培养60%以上客户习惯。注：如需获取该模块的详细技术文档、演示账号或定制开发报价，建议直接在微擎应用市场联系开发者咨询。
餐饮茶馆预约预订桌小程序系统详解
一、概述总结餐饮茶馆预约预订桌小程序是千行科技开发的一款专注于餐饮娱乐行业的智能预约解决方案。该系统以微信小程序为载体，集成于微擎开放平台生态，为餐厅、茶馆、咖啡厅、奶茶店、酒吧等实体店铺提供完整的线上预约、订座、会员营销一体化服务。产品采用微擎系统交付模式，源码未加密，支持PHP 7.1-7.4版本，便于二次开发与定制。系统通过灵活的时间场次设置、自定义收费字段、多级会员体系等核心功能，帮助商家实现0等待到店、精准客流管理、会员忠诚度提升三大经营目标，是线下实体门店数字化转型的轻量级高效工具。二、功能介绍智能预约预订核心功能多渠道预订入口：顾客通过微信小程序随时随地在线选桌、订座实时桌台状态：可视化展示空闲、已预订、使用中等桌台状态，避免重复预订预约时段精准控制：商家可自定义设置可预约时间段（如11:00-14:00, 17:00-21:00）时长灵活配置：支持设置不同时长选项（如2小时、3小时、不限时），适配不同业态需求自定义字段与收费体系动态字段添加：可根据业务需求添加特殊要求字段（如包间偏好、菜品预留、特殊布置等）增值服务收费：对定制化需求设置附加费用（如包间费、景观位费、套餐绑定等）预约金/定金模式：支持设置预订保证金，降低顾客爽约率多级会员营销系统普通会员体系：累计消费次数自动升级（如消费满10次升级银会员）等级折扣权益，提升用户复购率店铺VIP会员：独立VIP开通功能，享受专属折扣或免费预约权益本店消费达标自动成为VIP，增强客户粘性差异化定价策略，实现高价值客户精细化运营后台管理中枢预约订单管理：实时查看、确认、取消预约订单，支持短信/模板消息通知数据统计分析：预约转化率、时段利用率、会员消费行为等多维度数据报表规则灵活配置：营业时间、可约天数、取消政策等参数自定义多门店支持：适配连锁品牌多店铺管理模式（需扩展开发）三、适用场景与行业价值适用场景行业类型 具体场景 核心价值点正餐餐饮 中餐厅、火锅、烧烤、日料等 高峰时段分流、大桌提前锁定、降低等位流失率茶饮空间 茶馆、茶艺馆、棋牌茶室 包间时段管理、按位收费、长时消费预约轻食咖啡 咖啡厅、奶茶店、甜品店 景观位预订、团体聚会预留、会员专享座夜场娱乐 酒吧、清吧、Livehouse 卡座预订、低消设置、VIP快速通道多元业态 融合餐厅、餐吧、书吧 混合时段计费、区域差异化管理行业价值对商家：降本增效：减少电话接听人力成本，降低空桌率15-30%精准运营：通过预约数据预测客流，优化排班与食材备货锁客增频：会员体系提升复购率，VIP机制筛选高价值客户体验升级：顾客免排队等待，提升品牌好感度与口碑传播对顾客：确定性保障：提前锁定座位，避免到店无座的糟糕体验时间自由：可视化选择最便利时段，灵活安排行程权益感知：会员折扣与专属服务增强消费仪式感与归属感四、常见问题解答（QA）Q1：购买后是否包含小程序源码？后续可以二次开发吗？A：本产品交付方式为在线交付，源码未加密，购买后可获得完整源代码。支持在PHP 7.1-7.4环境下进行二次开发与功能定制，满足个性化业务需求。Q2：是否支持抖音小程序或其他平台？A：当前版本仅支持微信小程序。如需抖音小程序、支付宝小程序等多平台版本，需联系开发者进行定制开发，或使用微擎系统的多端适配能力自行扩展。Q3：预约功能能否设置"开场前2小时不可取消"这类规则？A：系统支持灵活的取消政策配置。商家可在后台设置免费取消截止时间，过后取消可设置扣费规则或不允许取消，有效降低顾客爽约带来的损失。Q4：VIP会员功能如何与商家现有会员系统打通？A：本系统内置独立会员体系。如需打通商户现有CRM或收银系统会员，需通过API对接或数据库映射进行二次开发。微擎开放生态提供标准接口规范，开发成本相对较低。Q5：小程序是否需要单独购买服务器和域名？A：需要。本产品为微擎系统应用模块，需自行准备服务器、域名并安装微擎框架。建议选择微擎云市场推荐的配置，确保系统稳定运行。Q6：是否支持多个门店独立管理？A：基础版本支持单门店管理。多门店版本需要额外开发或购买多店插件。微擎平台有多款多门店管理工具可配合使用，具体可咨询开发者获取整合方案。
婚庆微网平台：多端同步的婚庆行业数字化解决方案
概述总结婚庆微网平台是专为婚庆行业打造的多端同步微信小程序系统解决方案。该产品以"简约有力"为设计理念，为婚庆公司、婚礼策划机构提供零成本、高效率的数字化展示与服务平台。目前已有217家婚庆企业在使用，系统采用微擎架构部署，支持微信公众号接入，并提供H5及多端适配能力，是婚庆行业实现数字化转型的轻量级优选方案。核心优势：完全免费：当前售价0元，6个月续费价格同样为0元，降低企业入门门槛多端同步：支持微信小程序、H5等多端访问，覆盖全渠道客户即买即用：在线交付模式，快速部署上线稳定可靠：基于微擎生态系统，源码加密保障系统安全功能介绍基础展示功能婚庆案例展示：精美相册展示婚礼现场案例，支持分类筛选服务项目介绍：详细展示婚礼策划、场地布置、摄影摄像等服务内容品牌形象塑造：自定义页面风格，打造独特品牌视觉客户互动功能在线预约咨询：客户可在线提交婚礼需求，商家及时响应会员成长体系：内置普通会员、银会员、VIP等多级会员制度积分激励机制：通过消费次数累计，激励客户复购与升级营销运营功能跨平台适配：H5页面与微信小程序数据同步，一次发布多端覆盖微信生态融合：深度对接微信公众号，实现粉丝转化权限管理：完善的会员等级与权限控制体系技术特性广泛环境支持：兼容PHP 5.6/7.1/7.2/7.3多个版本隐私信息获取：经授权可获取用户微信昵称、头像、性别、地区、位置信息及相册权限源码加密保护：核心代码加密，保障系统安全与开发者权益适用场景与行业价值适用场景婚庆公司官网：快速搭建移动端品牌官网，展示服务优势婚礼策划工作室：案例展示+客户管理一体化解决方案婚纱摄影机构：作品展示与预约拍摄无缝衔接婚礼酒店/场地：服务推广与档期查询管理平台行业价值零成本启动：免费使用降低婚庆小微企业数字化门槛，节省数万元开发费用客户获取转化：依托微信12亿月活用户，通过H5分享与小程序搜索双渠道引流服务效率提升：在线预约与会员管理减少30%重复沟通成本品牌溢价能力：专业移动端展示提升客户信任度，支撑服务溢价数据资产沉淀：会员消费数据积累，为精准营销提供依据生态无缝接入：与微擎市场数百款营销工具打通，扩展性强问答环节Q1：婚庆微网平台真的完全免费吗？后续会收费吗？A：是的，当前购买价格为0元，且6个月续费价格同样为0元。根据页面信息，该应用采用免费策略以降低婚庆企业数字化门槛。建议关注官方更新，长期使用需留意续费政策变化。Q2：支持哪些平台接入？是否支持抖音小程序？A：目前明确支持微信公众号类型，已适配微信小程序和H5端。页面标注"其他端陆续开发中"，抖音小程序等更多平台预计未来会逐步支持。Q3：源码加密会影响二次开发吗？A：系统采用源码加密交付方式，这是微擎市场常见模式，主要为了保障开发者知识产权。如需深度定制，可联系开发者咨询定制开发服务（页面提供QQ微联咨询通道）。Q4：会员等级体系具体如何运作？A：系统内置消费次数升级机制：普通会员累计消费满10次可升级为银会员；在本店消费达标即可成为VIP会员。不同等级可设置差异化服务权益，促进客户复购。Q5：部署需要什么样的服务器环境？A：支持PHP 5.6、7.1、7.2、7.3多个版本，建议搭配Linux系统+Nginx/Apache+MySQL环境。具体配置要求可参考微擎官方部署文档。Q6：隐私信息获取需要用户同意吗？A：是的。系统需经用户明确授权后才能获取微信昵称、头像、位置等隐私信息，完全符合微信官方授权机制与数据合规要求。温馨提示：建议通过微擎官方市场购买，切勿线下交易。数据显示90%的欺诈、纠纷、资金盗取均由线下交易导致。
哔哩哔哩大会员可以领免费的邮政明信片
限量 9 万张和上海邮政合作，进入 APP 里的专题页 https://www.bilibili.com/blackboard/era/rF5QB0RTTcOTD3AX.html领取完兑换码跳转到邮政「寄贺卡」微信小程序兑换，10 选 1如果没有办法跳转请复制以下链接复制#小程序://寄贺卡/aQbC1tQC9x2qwSa 注意：根据描述来说是国内平信，请确保您的地址能收到平信（不可以邮寄至港澳台/其他国家）
声明本文章所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.此文章不允许未经授权转发至除 火线Zone 社区 以外的其它平台！！！0x1 前言一、浅谈这篇文章主要是给师傅们分享下前段时间我们公司做的渗透测试，这次是跟市里面的网信办一起做的。因为是第一次所以我们这次做的渗透测试价格不高，主要是为了后面连续几年的一个渗透测试服务项目。这次的渗透测试范围特别广，包含整个市里面的好多政企单位和学校，资产多，测试起来也就比较简单。下面简单给师傅们分享下一些渗透测试上面的漏洞复盘，给新手师傅们，特别是没有参加过渗透测试的师傅们给点经验。这里需要注明下，该项目中的漏洞目前已经全部修复了，另外提醒师傅们不要做未授权测试。所以下面的渗透测试漏洞案例中又部分截屏不全，我会备注，因为目前已经修复了。二、资产整理首先我会把公司发的跟这次渗透测试项目相关的文件和资产，还有一些些漏洞报告的模版之类的汇总在一个文件夹中，这样方便后面我自己进行一个漏洞报告编写，以及资产的收集整理，比如像web资产和APP、小程序漏洞都是可以分开整理我们在渗透测试项目之前，甲方那边都会给我们一些资产相关的表格，下面就是常见的excel表格资产，还有就是有些甲方可能目标资产不是那么多，且大多都是web资产，直接也有发txt文件的txt的类型像下面的如下：然后像渗透测试，还有就是授权书也是得有的，这里我们都是合法授权渗透测试的项目，跟那边都有授权合作的项目书，这里也希望师傅们能够合法进行渗透测试0x2漏洞一 短信轰炸一、纵向轰炸这里首先先带师傅们看看渗透测试常测试的点，比如像登陆口，一般都有手机号码登录，手机号码验证登录，需要我们接受短信验证码，然后进行登录操作。像渗透测试还有重测和src漏洞挖掘中，短信轰炸都是收的，企业src价格低点，且一般香短信轰炸，一般像很多企业都要求在比如每分钟15/30条以上就收。这里测试的手是一个人力资源管理局的一个微信小程序，这里直接输入我自己的手机号，然后使用bp抓包，拦截短信验证码发送的数据包：直接把数据包放到重放模块，下面直接go一下（第一次go）数据包可以看到数据包回显是正常的，且手机也是正常的接受到了短信验证码了但是第二次再次点击发送数据包，缺显示报错，意思是我们已经发送了一次，在短时间类不能再发送了这里我们就可以想下了，我们能不能进行一个验证码发送限制次数的绕过，这个要是能绕过，无限次数的发送验证码是会消耗这个单位的一个资源的然后我们就可以进行一个测试了，看看什么字符可以进行绕过验证码发送呢？经过测试发现，可以通过@、空格、+86、逗号等进行绕过，从而达到短信轰炸的漏洞危害：我们如果要把危害加大，达到一分钟短信轰炸达到几十条，那么我们就要利用bp的爆破了，我们手动添加多个绕过字符，然后进行爆破，尽量多的提高每分钟爆破短信验证码的发送次数，以此来提高这个漏洞的危害：然后师傅们就可以看自己的手机上面的短信验证码了，就可以看到一次性并发绕过了很多条短信验证码：二、横向轰炸然后这个人力资源局的小程序还存在横向爆破绕过漏洞，可以进行双手机号验证码同时进行发送，从而造成逻辑漏洞，下面师傅们可以参考下我具体的绕过技巧，在碰到这样的场景时候，直接去实操即可类似下面的，常用的就是下面几个：phone=13888888888,phone=13999999999 phone=13888888888&phone=13999999999 phone=13888888888,13999999999 phone=13888888888&13999999999下面我就直接重新回到刚才上面的抓包步骤，抓取发送短信验证码的数据包，然后去尝试使用上面的绕过方法，看看能不能进行绕过，双手机号验证码同时发送，这里我使用我的卡一和卡二来演示：我这里使用的就是下面这个思路：phone=13888888888&13999999999然后就可以看到自己手机短信验证码，收到了来自卡一和卡二一样的验证码，且时间也是一样的：然后我们这里就可以使用卡二的手机收到的验证码，只需要知道卡一的手机号就行了，那么就可以直接登陆卡一的账号那么我们后面深入利用就可以去改人力资源局相关站点去搜索电话号码，然后使用这个漏洞就可以越权登陆其他账号，特别是像权限比较高的admin之类的管理员账号三、短信轰炸总结下面是我之前总结的一些验证码爆破的一个思维导图，师傅们可以保存下，对于挖掘企业src和众测的时候，厂家收不收呢，其实可以看看相关的文档，一般都是定义每分钟15/30条以上就收0x3 漏洞 二 SessionKey三要素泄露一、未授权登陆下面这个漏洞就是给师傅们分享下，在渗透测试中比较容易发现，并且好打的一个漏洞点——SessionKey三要素泄露，这个漏洞在蛮多微信小程序中都存在，且利用的手法不难，看完我这篇文章，师傅们也可以去测试下这个漏洞需要使用到一个SessionKey三要素解密的工具，有直接下载使用的，也有burpsuit插件，反正原理都是一样的，加解密→替换数据包→未授权登陆1、首先介绍下使用到的SessionKey解密工具https://github.com/mrknow001/wx_sessionkey_decrypt/releases/tag/v0.1这个工具直接双击运行即可，类似下面的：还有一个就是使用burpsuit的自带插件https://github.com/mrknow001/BurpAppletPentester/releases/tag/v1.1直接就可以导入到bp插件中2、这个微信小程序是目标资产中的一个大学的小程序设备，大学那种预约访谈进出校园、校园招聘那种功能点，像这样的基本上都有那种手机号一键登陆的功能点，像这样的微信小程序手机号一键登陆，很大概率存在SessionKey三要素泄露漏洞，这样的漏洞我之前挖EDUSRC挖了好多，且有一本证书站也就是这个漏洞，但是没有那么明显3、点击手机号快捷登陆操作，直接使用bp抓包，可以看到数据包中出现了SessionKey三要素泄露：4、直接一键发送到AppletPentester 插件中5、直接一键解密即可6、在信息收集的时候，在一个接口中，发现这个微信小程序里面有很多的一些学校老师信息，比如手机号之类的，然后这里我就带师傅们利用这个SessionKey三要素泄露漏洞，直接未授权登陆管理员老师账号直接替换成管理员老师176的手机号，然后点击加密再进行登陆口抓起数据包，替换数据包，然后点击重发数据包即可就可以直接未授权登陆这个账号了二、弱口令+信息泄露然后，我这里直接把这个小程序的host拿到web页面去访问，因为我一般打小程序都有这个习惯，看看web端有没有系统，特别是那种登陆系统，弱口令的概率很大打开web端访问，直接跳转这个页面，特别经典的若依系统页面这里直接使用刚才的手机号+弱口令密码直接成功登陆了后台，里面泄露了整个学校的学校个人敏感信息0x4 JWT爆破攻击一、可爆破/未验证签名导致越权首先通过微信搜索小程序，找到对应目标资产中的小程序系统直接点击这个微信小程序，这个时候我们需要一直打开我们的bp抓取小程序的数据包（这个是一个测试小程序的一个好习惯，因为有些接口，包括敏感信息泄露，看历史的数据包很关键），然后看看数据包有没有什么提示，因为这里我的bp安装了HAE，一般重点关注带颜色的数据包这里我们可以看到bp的历史数据包，显示了多个JSON Web Token也就是大家常说的JWT值，像一般碰到这样的JWT值，我一般都会选择JWT爆破尝试haiy选择有无设置None加密，去进行做一个渗透测试这里先直接复制到https://jwt.io/ 去看看这个JWT里面的内容，然后去猜测这个paylod校验哪部分下面我来给师傅们讲解下这个payload代表什么，一些新手师傅可能没有了解过，包括后面进行数据包替换，也是要修改其中的payload值|字段名|值|说明||-|-|-||role|appUser|用户角色，表明用户属于应用层普通用户（非管理员）||exp|1747377338|令牌过期时间（Unix 时间戳）。通过转换可得具体时间：2025-11-14 11:15:38 UTC||userId|xxxxxxxxxxxxxxxxxx|用于标识用户身份||user_key|xxxxx-xxxx-xxxx-xxxx |用户密钥或关联密钥（可能用于访问控制或加密）。||username|1xxxxxxxxx79|手机号，一键微信登陆的|这里先使用自己修改的JWT脚本爆破工具，看看能不能爆破出密钥爆破发现其密钥为123456然后直接来到刚才JWT的网站，去利用该key构造JWT，可以直接进入后台，下面的勾需要勾上因为这里我经过测试，这个网站的JWT是对user_key进行校验，所以只要在规定时间内user_key不过期，那么我们就可以拿另外一个手机号进行测试，替换bp抓取登陆口的数据包，然后放包就可以直接登陆别的账号首先这里需要修改下时间戳，拿这个网站：https://tool.lu/timestamp/ 一般都是改成第二天的时间，不可以早于测试时间还有就是把username替换下，这里我做测试，替换我的卡二，也就是最后面说93的尾号，因为经过测试，普通用户的role 都是appuser，这里猜测管理员可能是admin然后直接在小程序登陆口，使用bp抓包，然后劫持数据包，进行替换token值，因为这里经过测试是校验的JWT值通过不断替换JWT值，然后不断测试放包，放包，最后面可以直接不需要使用账号密码，直接登陆改账号二、设置加密为None导致不验证签名从⽽达到越权上面那种情况只需要爆破密钥，或者一些系统框架默认使用一些密钥，没有经过修改，可以直接利用默认key的那种，这里给师傅们讲解下那种设置加密了——None加密，导致直接爆破不了，需要使用JWT工具自动生成None加密的四种不同算法，也可以理解成一种绕过思路这里需要使用的工具是jwt_tool，下载地址如下：https://github.com/ticarpi/jwt_tool这里我这个小程序是不存在这个漏洞，但是这里给没有学过这个漏洞的师傅们演示下python jwt_tool.py JWT值会直接显示JWT解密以后的内容显示出来下面使用这个工具来测试 None 算法漏洞使用下面的这个语法跑这个脚本，⾃动⽣成 4 种 None 算法的变体（⼤⼩写敏感测试），其实也就是使用这四个token去挨个尝试替换，然后发包，看看返回包是否有成功回显数据python jwt_tool.py JWT值 -X a burpsuit返回包总结：401 Unauthorized → 签名校验失败，可尝试算法混淆或密钥爆破 200 OK → 攻击成功（罕⻅，说明存在⾼危漏洞） {"error":"alg not allowed"} → 服务端禁⽤ None，可尝试算法改⽤其他攻击向量（如 PS256 → HS256）0x5 OAuth2.0漏洞这次我在测试过程中碰到了OAuth2.0漏洞，是一个企业的微信公众号和一个带宣传性的一个登陆管理网站存在的这个漏洞，直接存在二维码不需要二次确认扫描，目前已经被修复了，但是那种漏洞的站点很明显，截屏那个网站的logo打码也看的出来所以这里直接给师傅们分享下我之前写的一篇关于OAuth2.0漏洞的文章，在先知社区原创的文章：https://xz.aliyun.com/news/16153简单案例分享简单来讲就是在登录过程中，比如可以使用第三方应用授权登录，且扫描二维码登录不需要确认校验，直接扫码即可登录，那么就可以使用二维码钓鱼之类的危害，就是文章开头的描述的百度案例一样。这里进入后台，然后有一个使用微信绑定，扫描二维码的功能点击立即绑定，然后就会弹出来一个二维码，那么我们就可以拿这个二维码进行一个钓鱼欺骗，让别人扫描二维码，从而绑定别人的微信号就跟我上面的一个，搞一个钓鱼的二维码模板，然后往一些网安群里面一发，说什么小白免费领取网安教程，只需要扫描此二维码即可（肯定有人扫的）0x6 jeecg泄露漏洞一、jeecg框架简介JeecgBoot是一款基于AIGC、BPM和低代码引擎的AI低代码平台，旨在帮助企业快速实现低代码开发和构建个性化AI应用！前后端分离架构Ant Design&Vue3，SpringBoot，SpringCloud Alibaba，Mybatis-plus，Shiro。强大的代码生成器让前后端代码一键生成，无需写任何代码！ 引领AI低代码开发模式: AI生成->OnlineCoding-> 代码生成-> 手工MERGE， 帮助Java项目解决80%的重复工作，让开发更多关注业务，快速提高效率 节省成本，同时又不失灵活性！低代码能力：Online表单、Online报表、大屏/仪表盘设计、表单设计、流程设计、报表设计;AI能力：AI应用平台+知识库问答、AI模型管理、AI流程编排、AI聊天、AI建表等,支持各种AI大模型ChatGPT、DeepSeek、Ollama等.jeecg官网如下：https://www.jeecg.com/二、jeecg综合漏洞利用工具这里先给新手师傅们分享个还不错的jeecg漏洞利用工具，首先这个工具书GUI图形化工具，还有就是这个工具更新了很大jeecg的历史nday漏洞在里面，使用操作简单工具下载链接：https://github.com/MInggongK/jeecg-这里给师傅们演示下，直接把可能存在jeecg漏洞的url导入目标中，然后选择ALL模块，进行检测即可三、从小程序到web端接口泄露好了，这里废话不多说了，这里回归这次渗透测试项目中来，再次给师傅们分享下这个漏洞，因为有些刚接触网安的师傅还没有接触这个漏洞，所以这里给大家分享下，这次jeecg漏洞通过以前保留的一些jeecg测试手册，一些jeecg的接口和bp数据包，像这样的jeecg框架系统，都是可以直接拿来测试1、首先，这个系统漏洞还是小程序，直接搜索对应资产小程序名称，这个系统是该市里面的一个大学的缴费系统2、打开微信小程序，首先我会直接去打开bp抓包，然后这里随便点击里面的功能点，然后进行看里面的数据包然后去翻里面的历史数据包，师傅们可以看到下面的table关键字这个tableNane关键字让我感到兴趣，是因为开发人员在一些做接口命名的时候，不会随意取名称，他这个接口后面的tableNane=xxxx，这里我直接去拿table表名出线多的去尝试猜测下这里我尝试了几个，但是都没有出信息，还尝试了information_schema.tables表名，都没有什么数据回显然后我这里还尝试直接把表名置空，但是依然没有什么敏感数据回显3、这里直接把小程序数据包中的host域名和端口，直接放到web端去访问，然后再尝试别的测试4、这里使用findsomething插件，去跑下web页面泄露的接口，这里把收集到的接口放到一个1.txt的文件中5、这里师傅们要是没有思路，最简单的就是就可以直接把findsomething插件泄露的接口利用bp的POST和GET方法都跑一遍即可。但是这里我需要找找我保存的接口里面有没有泄露跟tableName相关的6、通过findsomething插件，得到了好几个tableName的接口，然后直接使用bp去访问，发现一个接口直接泄露了四百多个数据表格名称然后每个表里面都泄露了好几百个个人敏感信息，比如身份证、手机号、姓名之类的四、SQL注入漏洞这个小程序的一个接口还存在SQL注入漏洞，通过测试，直接可以注入出数据库名称，直接又一个SQL注入到手了SQL注入payload：updatexml(1,concat(0x7e,user(),0x7e),1)五、提权操作师傅们，其实测试到这里，这个系统小程序和web端都摸熟悉了，就是jeecg的系统框架，里面的很多接口都是jeecg开发默认的接口名称，但是前面的路径发生了一点变化，没有原班直接拿jeecg的接口使用，但是经过FUZZ测试出来了很多接口，这里给师傅们分享下，我先注册一个账号，然后提权到admin管理员账号的过程。首先我使用register注册接口，注册一个账号下面就是提权的一个操作了，需要再次FUZZ接口，因为打jeecg漏洞多的师傅们，都知道，jeecg有很多的接口，像什么注册、查信息，查user_id，查所以账号的token值，还有用户敏感信息等，但是现在很多系统都不会直接拿jeecg都路径接口部署了，多多少少会进行魔改这里首先需要查询管理员admin的账户ID然后查询自己刚才创建用户的ID值然后使用打提权使用的jeecg漏洞poc，如下：//roleld填写需要提权的角色id userldList填写自己的idPOST xxxxx/jeecg-boot/sys/user/addSysUserRole（jeecg接口，需要自己去尝试，不一定是我这个） HTTP/1.1 Host: Cookie: cna=Ov9SH4RxGiACAf////9C18zb User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:129.0) Gecko/20100101 Firefox/129.0 Accept: application/json, text/plain, */* Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 Accept-Encoding: gzip, deflate X-Access-Token: eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE3MjUzNzMyNDMsInVzZXJuYW1lIjoiMTEwMTAyIn0.NXRckymfKdZvEFsDQZ9Jwvk_rU_gVny2Rx6A Tenant-Id: 0 Origin: Dnt: 1 Referer: Sec-Fetch-Dest: empty Sec-Fetch-Mode: cors Sec-Fetch-Site: same-origin Priority: u=0 Te: trailers Connection: close Content-Type: application/json Content-Length: 96 { "roleId":"xxxxxxxxxxx", "userIdList":[ "xxxxxxxxxxxxxxxx" ] }这样就成功创建了这个系统的admin管理员的账户了，后面的思考就是直接使用创建的账户密码，去尝试爆破登陆其他系统六、其他jeecg小技巧下面再给大家总结下jeecg的其他打法小技巧一、常见的接口敏感信息泄露：/v2/api-docs /swagger-ui.html /env //获取参数信息 /actuator /mappings /metrics /beans /configprops /actuator/metrics /actuator/mappings /actuator/beans /actuator/configprops /actuator/httptrace二、常见jeecg框架接口关键字：像看到下面的几个关键字，首先需要想到使用jeecg去打，因为很多现在直接把jeecg关键字给魔改了jeecg/ api/sys/ sys/user三、jeecg的几个常用弱口令：可以使用下面的弱口令去尝试爆破下登陆接口admin:123456 jeecg:1234560x7 总结然后还有很多其他的漏洞，这次文章就不一一给师傅们分享了，留着下次有时候给师傅们分享，这次写这篇文章由于之前的渗透测试项目漏洞都修复 了，我才写的这篇文章，所以实属不易，为了给师傅们演示的那么细致，特意去网上现找了一些漏洞实操截图给师傅们，因为之前的漏洞报告没有写的那么详细，这里怕新手师傅看不懂。这次渗透测试总共提交了四五十个漏洞报告，其中包括很多框架系统的默认弱口令，这个确实让我蛮意外的，还有一些网上的nday，这里面有些老系统也存在，因为测试的资产比较多，所以相对来讲出洞率较高。最后，希望看完这篇文章的你，也可以挖到心仪的漏洞！
抛弃 Supabase，我将一个手搓项目用 AI 撸了一个 Convex + 微信小程序全栈模板
[开源 / 寻求共建] 从手搓到用 AI 打造了一个 Convex + 微信小程序全栈开发模板大家猴！今天想分享一个我最近打磨的开源项目：。这是一个微信小程序原生 + Convex 云后端的全栈项目模板，希望能给同样在寻找轻量级全栈方案的开发者一点启发。 我的填坑之路1. 手搓起初，这个项目是 “手搓” 出来的，使用微信云，后来到期了也不想续，就搁置了。2. Supabase后来了解到 Supabase，我尝试迁移到 Supabase。必须承认 Supabase 很强大，但深入使用后我发现，它的会员制对于我们这种个人开发者或小项目来说，成本控制和门槛其实有点 “坑”。具体坑点可以搜一搜3. Convex最后我发现了 Convex。它几乎不需要运维，且自带实时性，非常契合小程序的开发节奏。为了完善系统最核心也最麻烦的权限管理（RBAC），我利用 AI 辅助我设计了 Schema 并生成了核心的权限校验代码。 项目简介 不仅仅是一个 Demo，它提供了一套完整的全栈基础：前端：微信小程序原生开发（毛玻璃 UI 设计，体验丝滑）。后端：Convex 云后端（TypeScript 编写，无需配置服务器）。核心功能： 权限管理：内置用户、角色、动态菜单管理系统。用户体系：微信 OpenID 绑定、手机号登录、注册审核流、白名单。实战模块：内置了一个完整的 “电话簿” 管理模块，作为 CRUD 开发的范例。特性：类型安全、真・零运维、极低成本。 界面预览项目内置了登录、注册、审批、角色分配、动态菜单配置等多个完整页面。 诚实声明：代码可能有 Bug虽然目前基础流程已经跑通，但这毕竟还是个 “初生” 项目，我不敢保证代码里没有漏洞或逻辑 Bug。尤其是在安全防御和极致并发场景下，可能还存在不少需要打磨的地方。 诚邀加入，一起搞事！我非常看好 Convex + 小程序 这个组合带来的小项目的开发效率提升与维护成本降低。如果你：对这个小程序感兴趣。对代码架构有强迫症，想一起优化 RBAC 设计。或者单纯想找个好用的模板做自己的小程序。希望你能加入进来！ 欢迎提 Issue 捉虫，或者直接提 PR 贡献代码。一起把这个模板打磨得更稳、更好用！ 传送门GitHub 仓库：https://github.com/jingtai123/wechat_convex如果你觉得这个项目对你有启发，欢迎点个 Star 支持一下！📌 转载信息来源： https://linux.do/t/topic/1505898原作者： jingtai123转载时间： 2026/1/23 19:21:16
51 防伪查询小程序系统 —— 一站式正品验证解决方案
一、概述总结51 防伪查询小程序系统是由安徽五一信息科技有限公司打造，基于微擎系统交付的专业防伪查询工具，支持微信公众号与微信小程序双端部署，为企业和消费者搭建起高效、便捷的正品验证桥梁。系统提供防伪码查询、扫码验证等核心功能，配备完善的前后端管理模块，能满足企业对商品防伪溯源的全流程需求。支持 PHP7.1 至 PHP7.4 多种版本环境，为企业提供安全可靠、灵活拓展的防伪解决方案。二、功能介绍（一）核心查询功能多方式验证：支持防伪码手动输入查询与扫码查询两种核心方式，操作简单便捷，满足消费者不同场景下的验证需求。24 小时服务：提供全天不间断查询服务，配合一键呼叫功能，消费者可随时获取更多服务支持，提升使用体验。精准结果反馈：查询后即时呈现验证结果，正品将展示详细商品图文信息，非正品则发出明确警示，无相关商品信息提示，让消费者快速辨别真伪。（二）后台管理功能商品管理：企业可在后台自主添加、编辑、删除商品信息，上传商品详情内容，实现商品信息的灵活管理。批次管理：支持商品批次的添加、编辑与删除操作，可填写批次编号、关联商品、生产时间、备注等信息，便于企业进行批次追溯与管控。防伪码管理：具备防伪码生成功能，可关联商品生成专属防伪二维码，同时记录所有已查询防伪码的查询记录，支持通过防伪码精准查询对应记录。系统设置：提供系统基本设置功能，支持源码下载，企业可根据自身需求进行个性化配置，保障系统稳定运行。操作员权限管控：明确后台操作员权限，规范操作流程，保障数据安全与管理秩序。（三）附加保障功能数据溯源：查询结果信息来源中国物品编码中心，保障验证结果的权威性与准确性。正品通知：消费者验证正品后可接收验证结果通知，强化消费信任。源码保障：交付的源码未加密，便于企业根据业务需求进行二次开发与拓展。三、适用场景与行业价值（一）适用场景各类商品生产企业：包括电子产品（如戴尔笔记本电脑等）、日用品、食品饮料、化妆品、保健品、服装鞋帽等多个品类的生产企业，需为消费者提供正品验证渠道。品牌方：注重品牌形象保护，希望通过防伪手段打击假冒伪劣产品，维护品牌信誉的品牌方。经销商与零售商：需要向消费者证明所售商品为正品，提升消费者购买信心的销售渠道商家。（二）行业价值对企业：有效打击假冒伪劣产品，保护品牌知识产权与市场份额，维护品牌形象与声誉。通过商品批次管理与防伪码追溯，实现产品全生命周期管控，便于质量追踪与问题排查。减少因假货导致的客户投诉与品牌信任危机，降低企业运营风险。无需复杂技术开发，基于微擎系统快速部署上线，节省开发成本与时间。对消费者：提供简单、快捷、权威的正品验证方式，降低购买到假货的风险，保障消费权益。清晰获取商品详细信息，提升消费知情权与购物体验，增强消费信心。对行业：规范市场竞争秩序，遏制假冒伪劣产品流通，促进行业健康可持续发展。推动行业防伪技术普及与应用，提升整体行业的产品质量管控水平与消费者信任度。四、问答环节问：51 防伪查询小程序系统支持哪些部署平台？答：支持微信公众号与微信小程序两种部署类型，适配主流微信生态场景。问：消费者查询商品真伪后，正品和非正品分别会收到什么反馈？答：查询到正品会显示详细商品图文信息，并可接收正品验证结果通知；查询到非正品会收到明确警示，且无相关商品信息展示。问：企业在后台能否管理商品批次信息？具体可操作哪些内容？答：可以。企业可在后台添加、编辑、删除商品批次，填写批次编号、关联商品、生产时间、备注等信息，实现批次全流程管理。问：防伪查询结果的信息来源是什么？是否权威？答：查询结果信息来源于中国物品编码中心，具备权威性与准确性，可有效保障验证结果的可信度。问：购买系统后，企业能否对源码进行二次开发？答：可以。系统交付的源码未加密，企业可根据自身业务需求进行二次开发与功能拓展。问：消费者除了手动输入防伪码，还有其他查询方式吗？答：有，支持扫码查询功能，消费者可直接扫描商品专属防伪二维码完成真伪验证，操作更便捷。
移动拨电话，薅 16 元微信立减金（有需要自取）
某信小程序： 5G 新通话1. 新手任务： 首拔领见面礼（2 元立减金）2. 日常任务： 复拨有礼（第二天拨打可以领 1 元立减金，坚持到第十天，总共可领 8 元立减金）3. 分享任务： 分享小程序给好友，好友登入并复拨电话，你即可回小程序领 2 元立减金（每周最高 6 元）📌 转载信息来源： https://linux.do/t/topic/1503355原作者： jiranrugu转载时间： 2026/1/23 10:19:15