快捷導(dǎo)航

網(wǎng)絡(luò)安全滲透測(cè)試小程序抓包流程步驟詳解

更新時(shí)間：2022年02月19日 14:51:36 作者：kali_Ma

這篇文章主要為大家介紹了網(wǎng)絡(luò)安全滲透測(cè)試之小程序抓包流程的步驟詳解，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進(jìn)步早日升職加薪

小程序測(cè)試流程

分為兩個(gè)方面，解包可以挖掘信息泄露問(wèn)題、隱藏的接口，抓包可以測(cè)試一些邏輯漏洞、API安全問(wèn)題。兩者結(jié)合起來(lái)就可以邊調(diào)試邊進(jìn)行測(cè)試，更方便于安全測(cè)試。

搜索目標(biāo)小程序

目標(biāo)搜索不能僅僅局限于主體單位，支撐單位、供應(yīng)商、全資子公司等都可能是入口點(diǎn)，所以小程序當(dāng)然也不能放過(guò)它們。

小程序主體信息確認(rèn)

查看小程序賬號(hào)主體信息，否則打偏了花費(fèi)了時(shí)間不說(shuō)，還可能有法律風(fēng)險(xiǎn)。

點(diǎn)擊小程序

在這里插入圖片描述

點(diǎn)更多就能看到小程序相關(guān)信息

[外鏈圖片轉(zhuǎn)存失敗,源站可能有防盜鏈機(jī)制,建議將圖片保存下來(lái)直接上傳(img-fzoTECKp-1644932263131)(https://upload-images.jianshu.io/upload_images/26472780-d79fd9e5a53ffc6b.png?imageMogr2/auto-orient/strip%7CimageView2/2/w/1240)]

小程序包獲取

PC端

首先在微信中搜索到小程序，并打開(kāi)簡(jiǎn)單瀏覽

然后在自己微信文件保存路徑下找到applet下找到該小程序包，可以通過(guò)時(shí)間或者小程序的appid快速定位到目標(biāo)包

在這里插入圖片描述

微信電腦端小程序包存在加密，需要使用工具進(jìn)行解密

windows端獲取小程序包流程

打開(kāi)解密工具，在工具目錄建立wxpack文件夾（解密后的小程序包會(huì)放在這個(gè)地方），運(yùn)行工具解密需要操作的小程序包即可

移動(dòng)端

找到對(duì)應(yīng)目錄，把包拉出來(lái)即可

安卓保存路徑：/data/data/com.tencent.mm/MicroMsg/{?戶ID}/appbrand/pkg/

iOS保存路徑：/var/mobile/Containers/Data/Application/{程序 UUID}/Library/WechatPrivate/{?戶ID}/WeApp/LocalCache/release/{?程序ID}/ ）

由于安卓data目錄需要root權(quán)限訪問(wèn)，所以需要手機(jī)或模擬器root

android模擬器獲取小程序包流程

這里我用到的是夜神模擬器，登錄微信，找到小程序

在這里插入圖片描述

方法是將復(fù)制的內(nèi)容放到mnt->shared->orther下，就會(huì)自動(dòng)同步到PC端，這是模擬器的共享目錄

在這里插入圖片描述

解包

工具地址：http://www.fzitv.net/softs/603120.html

環(huán)境安裝

npm install uglify-es --save
npm install esprima --save
npm install css-tree --save
npm install cssbeautify --save
npm install vm2 --save
npm install js-beautify --save
npm install escodegen --save
npm install cheerio --save

執(zhí)行node wuWxapkg.js xxxxxx.wxapkg

在這里插入圖片描述

不出意外應(yīng)該沒(méi)啥問(wèn)題，但意外往往很多。node版本問(wèn)題，依賴問(wèn)題等等都有可能導(dǎo)致解包失敗，這個(gè)時(shí)候就希望懂nodejs的同學(xué)深入了解小程序的打包壓縮邏輯，然后動(dòng)手二開(kāi)項(xiàng)目。不懂的又沒(méi)打算往這方面深入研究的怎么辦呢，那換一個(gè)目標(biāo)唄。

調(diào)試

打開(kāi)微信開(kāi)發(fā)者工具，選擇導(dǎo)入項(xiàng)目

導(dǎo)入項(xiàng)目后可能會(huì)出現(xiàn)一些代碼錯(cuò)誤，需要自己手動(dòng)修改，沒(méi)有錯(cuò)誤后可以編譯，之后愉快的進(jìn)行調(diào)試了

記得在“本地設(shè)置”模塊，勾選上“不校驗(yàn)合法域名”功能。

有些小程序包含第三方插件，而?程序插件直接在微信客戶端內(nèi)是?法搜索得到的，但我們可以通過(guò)登錄??的?程序微信開(kāi)放平臺(tái)賬戶在“設(shè)置” —> “第三?設(shè)置” —> “添加插件”中搜尋?程序插件。

抓包

簡(jiǎn)單來(lái)講就是配置全局代理，讓微信走全局代理。首先打開(kāi)抓包工具，配置好代理，然后修改windows代理配置

](https://img-blog.csdnimg.cn/e18ce7b0df8d42aaaa89ae428a874da2.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAa2FsaV9NYQ==,size_20,color_FFFFFF,t_70,g_se,x_16)