微信小程序逆向分析浅析

最新推荐文章于 2024-08-21 17:25:54 发布

哆啦安全

最新推荐文章于 2024-08-21 17:25:54 发布

阅读量2.4k

点赞数 2

分类专栏：移动安全游戏安全文章标签：小程序 app安全 android

本文链接：https://blog.csdn.net/u011426115/article/details/119700325

版权

本文介绍了微信小程序的本地存储路径和反编译工具，如wxappUnpacker，通过命令行解包。探讨了使用binwalk分析数据段结构，以及利用微信开发者工具进行动态调试。此外，还讲解了如何借助execjs库解密小程序的加密JS代码，强调了学习交流目的，禁止非法使用。

摘要由CSDN通过智能技术生成

Android微信小程序本地代码存储路径

通过Hook java.lang.String.toString、java.lang.StringBuilder.toString可以获取到路径，如下所示:
/data/data/com.tencent.mm/MicroMsg/ca89cf1e6ddfd8240c0fb568ff95b3e1/appbrand/pkg

微信小程序反编译工具（支持分包）

git clone https://github.com/xuedingmiaojun/wxappUnpacker.git
cd wxappUnpacker

基于electron-vue开发的微信小程序自助解包(反编译)客户端

https://github.com/xuedingmiaojun/mp-unpack
http://xuedingmiao.com/blog/xcx_unpack.html
git clone https://github.com/xuedingmiaojun/mp-unpack.git
cd mp-unpack
npm install && cd tool/ && npm install

npm run build
npm run build:mac
npm run build:linux
npm run build:win32
npm run build:win64

在wxapp

最低0.47元/天解锁文章

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

哆啦安全

关注关注

2
点赞
踩
7

收藏

觉得还不错? 一键收藏
打赏
2
评论
复制链接

分享到 QQ

分享到新浪微博

扫一扫

专栏目录

小程序逆向和抓包技巧浅析

哆啦安全

09-14

935

1.抓取移动端项目的前端页面和后台的交互数据，对请求信息和响应内容进行分析 (1).普通手机APP的前端页面和后台一般是通过http请求进行交互 (2).微信小程序的前端页面和后台一般是通过https请求进行交互以前微信是可以直接信任用户证书，从某个版本以后，这个特性被限制了 Android系统 (1).Android7.0及以下(不影响) (2).Android7.0以上微信7.0以下版本(不影响) 微信7.0及以上版本(无法抓包) iOS系统(不影响) And

小程序的学习资料收集

weixin_30414245的博客

02-23

2970

收集学习资料 1：官方工具：https://mp.weixin.qq.com/debug/w ... tml?t=1476434678461 2：简易教程：https://mp.weixin.qq.com/debug/wxadoc/dev/?t=1476434677599 3：设计指南：https://mp.weixin.qq.com/debug/wxadoc/desig...

2 条评论您还未登录，请先登录后发表或查看评论

记一次微信小程序逆向

2301_80115097的博客

07-26

2173

环境搭建，HTML，PHP，MySQL基础学习，信息收集，SQL注入,XSS，CSRF，暴力破解等等）、应急响应笔记、学习路线。这边数据包中有个签名值，还有个时间戳timestamp，防止重放，所以要尝试知道怎么计算这个sign值。看js里有挺多接口的，一开始稍微看了一下都没有什么敏感泄露，也没有什么未授权，字段中存在uid，尝试是否存在越权，结果uid与token关联的，所以无果。但总感觉是有点问题的，来都来到这一步，总不能放弃吧，至少把接口都看一遍。加密嘛，之前抓了看到是加密就放弃了，现在重新弄一弄。

微信小程序框架逆向

01-26

背景在研究/升级后,目前已实现XX小程序框架跑通了devtools模式支持了大部分微信小程序常用API, 支持小游戏 :warning_selector:但是XX小程序框架很多下基础API跑不起来,比如无法使用原生播放器/蓝牙等; 原因: 微信小程序ios/android模式下, 是通过原生去支撑这些基础API. 目标参考微信小程序ios/android模式, XX小程序框架支持ios/android模式, 进而通过原生去支撑这些基础API. 思路逆向微信小程序 ios端通过tweak工具, 编写动态库注入的方式, hook JSContext/WKWebview 的相关配置 IDA/hopper查看微信小程序ios端实现伪代码 XX小程序框架参考微信小程序实现ios/android模式研究微信小程序ios/android模式实现步骤 ios/andriod 原生模块支撑通过tweak hook JSCo

小程序逆向过程

最新发布

西门一刀的博客

08-21

218

清空微信目录下Applet文件夹中所有目录。

小程序逆向分析 (一)

qq_53058639的博客

02-13

3886

搞个新玩意的时候，先找个软柿子捏，不要一下就想放个大卫星。能反编译，然后再动态调试，那么曙光就在眼前。这个样本运气好，肉眼就可以看出是md5，复杂的js算法，可以考虑 PyExecJS、js2py or Node.js 来跑。所有的故事都会有结局，只有生活跟你没完。TIP: 本文的目的只有一个就是学习更多的逆向技巧和思路，如果有人利用本文技术去进行非法商业获取利益带来的法律责任都是操作者自己承担，和本文以及作者没关系，本文涉及到的代码项目可以去奋飞的朋友们知识星球自取，欢迎加入知识星球一起学习探讨技术。

微信小程序逆向分析

For_John的博客

03-02

5994

微信小程序逆向；微信小程序逆向分析；实战逆向入门

微信小程序逆向过程

qq_38217747的博客

06-15

667

文件地址：D:\soft\WeChat\WeChat Files\Documents\WeChat Files\Applet\wxea66c202aa4af979\44。安卓环境(安卓系统手机或安卓模拟器)—>https://www.genymotion.com/download/%5D。nodejs环境—>https://nodejs.org/zh-cn/download/微信PC版本—>https://pc.weixin.qq.com/将文件放入 \wxappUnpacker\apkg文件夹下。

微信小程序逆向

Codeoooo 博客

06-16

2606

微信小程序逆向大致思路：抓包分析–>加密参数查找–>小程序源码获取–>分析加密逻辑。

浅析跨境电商物流信息系统构建——以网易考拉海购为例.pdf

07-10

此外，充分发挥移动端优势，通过手机应用、微信小程序等渠道，使用户能够随时随地进行订单跟踪和物流查询。五、跨境物流信息系统发展中的现存问题尽管物流信息系统为跨境电商带来了便利，但在实际应用中仍然面临...

微信小程序本地应用包逆向工具

01-26

wxappUnpacker 这是著名微信小程序反编译脚本项目，我不是原作者，我只是该项目的搬运工，用于自己的项目中，同时修复了因微信升级导致该脚本运行报错的BUG。上传该项目的初衷就是有两个：原项目已被作者移除，估计是涉及到不可描述的社会问题；备份一份项目，供大家使用，也是给自己一份保障使用方法第一步 npm install 第二步 node wuWxapkg.js <wx> 之后会在你运行JS脚本的同级目录生成跟.wxapkg同名的目录，解压后的源码就在该目录下面常见问题 1. Module build failed: Error: Cannot find module 'escodegen'（本项目已经修复该问题）解决方法： npm i escodegen -S 2. Error: This Package is unreco

android逆向工程师，android地图开发框架

2301_82243816的博客

04-22

1036

PS：之前因为秋招收集的二十套一二线互联网公司Android面试真题（含BAT、小米、华为、美团、滴滴）和我自己整理Android复习笔记（包含Android基础知识点、Android扩展知识点、Android源码解析、设计模式汇总、Gradle知识点、常见算法题汇总。一共十个专题，包括了Android进阶所有学习资料，Android进阶视频，Flutter，java基础，kotlin，NDK模块，计算机网络，数据结构与算法，微信小程序，面试题解析，framework源码！

微信小程序的逆向

qq_59848320的博客

01-20

5580

前言：在学校的时候，每次都要在晚上查寝的时候都要签到。而且是在一个特定的时间点。晚上10点开始。到11点半。其实也没啥。但是我这记性呀。就经常忘记就这样，我就在不知不觉中少签七八次。我人傻了（派大星表情包）_大星_我人表情就这样，我就想能不能写个程序自动签到。就不会忘签了。嘻嘻人类正出于懒惰而掌握各种的技术 ————佚名开始解密 1.寻找小程序 因为我们签到是用手机app来进行签到的，但是手机app抓包和反编译比较麻烦。那我们能不能...

【Web实战】零基础微信小程序逆向（非常详细）从零基础入门到精通，看完这一篇就够了

Python_0011的博客

11-29

6938

作为中国特有的一种程序形态，小程序在我们的日常生活中已经无处不在。腾讯、百度、阿里巴巴、字节跳动、京东等各家互联网大厂都有各自的生态平台，当然，也有快应用这种行业联盟型的生态平台。小程序开发者在开发环节中必须基于以下原则：互不信任原则，不要信任用户提交的数据，包括第三方系统提供的数据，必要的数据校验必须放在后台校验。最小权限原则，代码、模块等只拥有可以完成任务的最小权限，不赋予不必要的权限。禁止明文保存用户敏感数据。

实用的微信小程序逆向教程！