现在 OSS 对象存储应用广泛，但开发者安全意识普遍较低，方便之余的同时也会随之带来一些安全风险。虽然本文的场景不是那种 APP 或者源码里面硬编码泄露的 AK 和 SK ，敏感信息虽然都放在了后端服务器，但是还是一点点通过信息收集逐步沦陷。

全文简介

现在 OSS 对象存储应用广泛，但开发者安全意识普遍较低，方便之余的同时也会随之带来一些安全风险。虽然本文的场景不是那种 APP 或者源码里面硬编码泄露的 AK 和 SK ，敏感信息虽然都放在了后端服务器，但是还是一点点通过信息收集逐步沦陷。

薄弱域名

对 xxx 小程序进行测试，发现未登录是没法交互的，现在很多小程序都是这样，不登录啥也看不到啊！

不过好在小程序这些解包还是很方便的，我们尝试解包分析小程序，居然发现了测试环境的域名信息：