最新微信小程序渗透测试指北（附案例）_微信小程序怎么渗透测试(3)，【秋招面试专题解析

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上软件测试知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

需要这份系统化的资料的朋友，可以戳这里获取

该文件下加载过所有的小程序的文件夹，可以把该文件夹下的wx开头的文件删除后，再重新加载小程序，其中__APP__.wxapkg为小程序加密后的文件

解密

用UnpackMiniApp工具选择需要解密的程序包（这里一定要用原目录选择），解密完成后会在工具wxpack目录下生成解密完成后的文件：

反编译

通过反编译获取源码，这里工具选择很多，我使用的是CrackMinApp，把解密后的文件放到该工具wxapkg目录下，即点即用：

解密后，可以用**「小程序开发工具」**打开，用这个打开的很大一部分的原因是想将反编译的源码进行运行调试，但是经过我的测试反编译后源码存在缺失，能够能够运行的是比较少的，所以用什么工具打开并不重要，只要能够进行全局搜索，查看即可。

如果不能运行，遇到算法分析如果只靠静态分析就比较头痛，大佬除外所以要推荐下如下这种方法。

小程序调试模式

原理

通俗点讲就是将小程序的窗口当做一个游览器，F12调用出开发者工具进行动态调试。注意此方法可能会有封号风险，请用小号测试！！！。实现方式通过对某信偏移地址进行hook开启调试模式，所以不同的版本的偏移地址不同，目前支持的版本如下：

Windows 微信版本	小程序版本	是否为最新版
3.9.9.43_x64	8555_x64	✅
3.9.8.25_x64	8531_x64	❌
3.9.8.25_x64	8529_x64	❌
3.9.8.25_x64	8519_x64	❌
3.9.8.25_x64	8501_x64	❌
3.9.8.25_x64	8461_x64	❌
3.9.8.25_x64	8447_x64	❌

如果版本更新了，偏移地址是会变的，师傅们可以关注下@zhiyuan师傅的WeChatOpenDevTools项目，学习下如何找到不同版本的偏移地址，这里就不做过多的介绍了。

注意：如果小程序禁用了调试模式，此方法不适用

食用方法

下载项目WeChatOpenDevTools-Python（@zhiyuan和@Javeley师傅提供的方案和工具），安装依赖：

pip3 install -r requirements.txt   

开启小程序F12运行✅

python main.py -x   

开启微信内置浏览器F12抓包

python  main.py -c   

0x04 实战部分

案例1：敏感信息

这部分通常见很多小程序文章渗透讲解的都是泄露AppSecret（ak/sk），但是在2022年6月之后的小程序开发工具支持检测这种敏感信息，所以这种漏洞的发现和利用会越来越少

如果遇到这种云key泄露，直接利用工具即可：

除此之外，可以进行一些信息收集https://,http://,phone ,token,key，也可以写个脚本用正则匹配下接口，进行数据遍历后可能会有意想不到的效果。

案例2：弱口令

在测试多个小程序时，会发现抓到的xxxxx.com域名，在游览器中是可以直接打开的，如果在测试小程序时没有进展，可以尝试从这个方向进行突破：

这个案例是在众测中遇到，发现图形验证码存在复用情况，且忘记密码处存在用户枚举，成功枚举出测试手机号13122223333，继续爆破密码成功进入后台：

案例3：未授权访问

某众测案例，开局一个小程序，抓到的域名为：https://1.com：

登录口一顿抓包改包，反复尝试对抗，无果：

域名直接游览器访问，一片空白，无论怎么拼接获取到的路径，还是一片空白，但是发现虽然数据没有加载，但是网站title是已经加载了的：

这时候直接通过又在Burpsuite跑了一遍新获取的路径，G了，还是没有个能够正常访问的：

继续摸索分析数据包，在响应头Access-Control-Allow-Origin（允许跨域访问的域名）发现了一个域名https://2.com：

直接访问，被waf提示405，但是发现下面写着7x24客服，随手加下面的QQ：

秒通过，尝试着问了下，没想到真的回我了！！！后面回复给我的意思就是：这个网站设置了安全策略，只能通过xx省访问：

修改xx省内IP，重复上述步骤，一发入魂https://2.com/H5/#/，发现一个测试用例页面，图片太过敏感我就不放了，可以操作和查看该系统的所有数据

小技巧：发现某个未授权接口，存在任意文件下载，这个时候可分两个漏洞交，拿两个Rank分：

0x05 完结

还有其他小程序案例，和web渗透测试流程无异，就不做过多赘述啦。后面在渗透过程中再遇到有趣的案例再与大家分享，文中涉及工具请关注公众号回复：0311 获取。

参考资料:https://forum.butian.net/share/2570

`黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

（都打包成一块的了，不能一一展开，总共300多集）

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

4.工具包、面试题和源码

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

入研究，那么很难做到真正的技术提升。**

需要这份系统化的资料的朋友，可以戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！