wx小程序渗透思路

免责声明:本文仅做分享!

目录

WX小程序源代码

wx小程序目录位置:

反编译:

e0e1-wx.py工具

unveilr.exe工具

查看源代码:

微信开发者工具:

WX抓包

Fiddler抓包

官网下载

下载证书

操作:

bp + proxifier

bp:(代理抓包)

proxifier:(本地代理)

---

WX小程序源代码

其实就跟web渗透类似,只不过wx小程序的源码封装了.

wx小程序目录位置:

这些wx开头的文件夹就是每个小程序的包包.

首先,看一下wx小程序的格式:

---这样,不出意外,打开就是乱码...

所以我们要进行反编译,变成正常的代码-->

反编译:

e0e1-wx.py工具

配置去工具官网看:

eeeeeeeeee-code/e0e1-wx: 微信小程序辅助渗透-自动化 (github.com)

运行截图:

现在的文件是正常的代码了,可以安心观看啦~~~

---

unveilr.exe工具

自己下载...

使用方法: 
unveilr.exe "小程序路径"

--->运行完成后会在其小程序目录下生成一个  __APP__ 文件夹.(里面就是正常的代码文件)

---

查看源代码:

反编译完了,那我们要怎么办呢, ---> 当做一个项目,打开,审计人家源代码呀 .

微信开发者工具:

developers.weixin.qq.com/miniprogram/dev/devtools/download.html

--选择版本进行下载. (无脑安装)

那咱们弄好之后直接把反编译好的文件夹路径弄过来 ~

--->创建--->信任并运行.

到了这里之后,那就该怎么审就怎么审 !

那我们需要测试漏洞是否存在,是不是就需要抓包--->

---

WX抓包

Fiddler抓包

看人家大佬的文章吧, ....

fiddler抓取微信小程序包_fiddler抓包微信小程序-CSDN博客

官网下载

Download Fiddler Web Debugging Tool for Free by Telerik

下载证书

http://www.telerik.com/docs/default-source/fiddler/addons/fiddlercertmaker.exe?sfvrsn=2

---

操作:

Fiddler配置好之后,

先打开Fiddler,再配置微信网络代理,打开微信.

... 然后断点 ,抓包 ,改包 ....

(看人家佬的文章吧,很详细了...)

---

bp + proxifier

bp:(代理抓包)

环境自己配置好.

监听 127.0.0.1 8080

proxifier:(本地代理)

配置文件--代理服务器

---

配置文件--代理规则

WeChat.exe;WeChatAppEx.exe;WeChatPlayer.exe;WechatBrowser.exe;WeChatAppEx*.exe   
​
WeChatAppEx.exe

---

都配置好之后, 在其代理程序上 点击 , 抓到包 即可.

---由于这个proxifier 代理 的 流量有时非常卡,不稳定,所以这个感觉有点鸡肋.

---

微信小程序渗透 | 微信小程序反编译