原文：苏康码的秘密：将健康码和核酸检测省内查询放在桌面一步到位 https://hellodk.cn/post/961
最近全国各地疫情反复，我们核酸检测的次数增多了，亮出健康码和核酸阴性截图的需求也不断增加。
众所周知，各种健康码和核酸检测结果实际上都是一个 web page 展示的。经过验证，绕过苏康码的鉴权实际上很简单，虽然他们这样做不安全，但也有一个好处，我们拿到这个 url 直接将 web page 发送到桌面（iOS 的 添加到主屏幕），之后就可以一键直达了。经过测试，比起之前通过 URL Scheme 设置的快捷指令更加快速。
## 详细过程
通过 Charles 经由 https 通道抓包，就能拿到 token。拿 苏康码 举例: 苏康码和核酸检测查询(省内)的 url 实际上是一个，都是 `https://jsstm.jszwfw.gov.cn/jkmIndex.html?token=xxx` 使用 Safari 打开链接（或其他浏览器，android 很久不用了应该大多数第三方浏览器都可以吧？），然后选择添加到主屏幕 即可。
抓包的过程简单描述
1. 开启抓包软件的 ssl 抓包功能
2. 安装桌面端证书
3. 手机端打开抓包软件开放的端口（比如 8888），手机访问 http://192.168.2.130:8888/ 然后下载证书，此处 `192.168.2.130` 是电脑 IP
4. 在手机端安装证书➕️信任证书
5. 开启抓包，手机端通过支付宝的健康码入口进入页面，然后通过过滤请求分析 http 请求找到 token 吧
## 补充
- 其他省份的健康码逻辑可能有些不同，我只测试了 苏康码 是这样的
- 抓包过程我描述的不太准确，现在也不记得当时的过程了
- 最近需要截图核酸检测的需求有点多，这个小步骤能加快这个 flow，直接点击下方的 核酸检测查询(省内) 即可到达核酸检测结果页面
欢迎大家补充。
热议
推荐楼 Salta 3小时前
刑啊，小伙子，我看你这套方法挺可拷的啊，来，送你一个破坏计算机系统罪
推荐楼 氵氵 2小时前
下次健康码服务崩溃了就算你头上
推荐楼 gamerock 2小时前
这边建议别乱玩ZF机关的东西！！
特别是现阶段疫情比较严重的情况下玩疫情相关的软件！！
而且还是官方的！！
你这不是没事找事干？？还是想给官方找点事干？
3楼 william 2小时前
来个粤康码的
4楼 fg9907 2小时前
刑啊，小伙子，我看你这套方法挺可拷的啊，来，送你一个破坏计算机系统罪...
哈哈哈 好害怕。。但是有一说一 这个还构不成破坏计算机系统最吧？
5楼 micms 2小时前
同蹲一个粤康码的
6楼 头盔男 2小时前
直接打开政府弄的app，健康码下面同步显示最近一次的核酸采样时间、核酸检测报告，坐标苏州
7楼 mmc199 2小时前
这是苹果还是安卓啊
8楼 identity_u 2小时前
来个粤康码的
12楼 三氧化二砷 2小时前
token没有有效期吗
13楼 ORM 2小时前
有没有粤康码
14楼 jshkk 2小时前
这个。。。一抓一个准
15楼 fg9907 2小时前
这是苹果还是安卓啊
苹果，不过都一样，只是一个网页
16楼 your 2小时前
哈哈哈 好害怕。。但是有一说一 这个还构不成破坏计算机系统最吧？
已经构成了.你很刑啊.小伙子
17楼 acm 2小时前
你喜欢什么颜色的手铐?
18楼 fg9907 2小时前
直接用支付宝的，省之间自动更新
这个不会更新，token 固定，所以不安全，token 不能泄露
19楼 fg9907 2小时前
token没有有效期吗
没有有效期，目前来看一直有效，token 和身份绑定，可作为唯一用户识别码
20楼 三氧化二砷 2小时前
没有有效期，目前来看一直有效，token 和身份绑定，可作为唯一用户识别码 ...
如果不接入支付宝估计都不会用https
22楼 fg9907 2小时前
直接打开政府弄的app，健康码下面同步显示最近一次的核酸采样时间、核酸检测报告，坐标苏州
...
苏州的这个看起来一个页面就显示了所有的，025 是分开展示健康码和核算检测结果的
23楼 头盔男 1小时前
苏州的这个看起来一个页面就显示了所有的，025 是分开展示健康码和核算检测结果的 ...
025 不是安徽的么？
开个玩笑
24楼 fg9907 1小时前
如果不接入支付宝估计都不会用https
可太淦了，这波真是给zf 网站加固了
25楼 fg9907 1小时前
025 不是安徽的么？
开个玩笑
这个梗是过不去了
26楼 NiDiPiZiNaFongQ 1小时前
苏康码有效期14天
如果过期直接访问这个url会返回啥？
27楼 fg9907 1小时前
苏康码有效期14天
如果过期直接访问这个url会返回啥？
和通过支付宝进入的苏康码页面是一样的，需要更新一下 点击「信息更新」 即可
28楼 NiDiPiZiNaFongQ 1小时前
和通过支付宝进入的苏康码页面是一样的，需要更新一下 点击「信息更新」 即可 ...
蛤蛤，那最大的破绽就是UA了，要查你一查一个准，不过应该没啥事的
申明：本文内容由网友收集分享，仅供学习参考使用。如文中内容侵犯到您的利益，请在文章下方留言，本站会第一时间进行处理。