某路黔寻小程序sign

已于 2022-03-29 22:36:43 修改
阅读量3.6k 收藏 2
点赞数 3
文章标签： javascript 爬虫 python
于 2022-03-20 13:31:22 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43582101/article/details/123609951
版权
签名逆向合集 专栏收录该内容
28 篇文章 905 订阅 ¥99.90 ¥299.90
订阅专栏
本文通过分析某路黔寻小程序的PKG，详细介绍了如何获取并静态、动态调试来解析sign的生成过程。发现sign是经过请求参数与特定处理后的结果进行MD5加密得出。文中还给出了补全后的JavaScript代码片段，并提供了使用Python还原sign生成的逻辑。
摘要由CSDN通过智能技术生成

案例地址：某路黔寻小程序。

声明：文章内容仅供参考学习，如有侵权请联系作者进行删除。
订阅的是整个专栏：《签名逆向合集》

文章目录

获取PKG

小程序PKG获取方法不再说了，可以看之前的案例文章。

不管从移动设备还是windows上获取的都可以。

我把wxApkg文件链接放文章最后了，大家可以自行下载。

注意windwos上获取下来的需要解密后再反编译。

在这里插入图片描述

静态分析

源码并没有混淆，全局搜索关键词。
在这里插入图片描述

sign = a.c(e(e({}, d), r))


                

                
                
        

        

        

    

  


        

            

                

                

                了解本专栏
                
                
                  
                订阅专栏 解锁全文
                 
            

        

    

      

        

            

              
                
                  考古学家lx(李玺)
                
              
            

            

                关注
              
            

        

        

          
      

      

            

                专栏目录
          

                

                        订阅专栏
                









                



	

		

			

				
					
某高速小程序获取sign

				
			

			

				

					qianmang的博客
				

				

					04-10
					
					3913
					
				

			

		

		

			
				
1.准备工具
	a) 已经root的Android手机
	b) 电脑
	c)抓包工具fiddler，自行百度下载
	d)微信开发者工具，自行百度下载
	e)node.js 我的是v14.16.1
	f)WebStorm 最好下载一个配合微信开发者工具很好找代码 ，自行百度下载

2.分析
在小程序启动的时候抓包分析，发现有一个sign参数，在不登录帐号时，不同的时间，sign不变，就很可以猜想sign是本地生成的，因此只要反编译小程序就可以获知该算法。

3.反编译
查看小程序反编译.
4.定位关键代码
反

			
		

	



                

              
                



	

		

			

				
					
记一次微信小程序逆向

					
最新发布

				
			

			

				

					wananxuexihu的博客
				

				

					07-08
					
					1454
					
				

			

		

		

			
				
扫码领取网安教程遇到瓶颈了，不知道该干什么，突然想到学校的小程序闲来无事就看一看抓包下来的数据是这样的，嗯，下机（hhh。

			
		

	



                


  
              

                


	

		

			

				
					
贵高速小程序sign签名算法.e

				
			

			

				

					03-31
				

			

		

		

			
				
贵高速URL中的sign签名算法，仅供学习参考，切勿用于非法用途。

			
		

	





	

		

			

				
					
驿路黔寻贵高速小程序sign算法分析，软件bot交流

				
			

			

				

					Weixin_lnzhwh的博客
				

				

					11-04
					
					1143
					
				

			

		

		

			
				
贵高速解密算法已经完成。欢迎共同探讨分析。

			
		

	



		

			
		



	

		

			

				
					
贵高速驿路黔寻简漏分析

				
			

			

				

					m0_64371689的博客
				

				

					11-24
					
					685
					
				

			

		

		

			
				
贵高速简漏分析代码如下

import hashlib

import json

from sign import getSign





def getMd5(s):

  m = hashlib.md5()

  m.update(s.encode("utf-8"))

  return m.hexdigest()



if __name__ == '__main__':

  params = {

    "os": "APPLET", "osVersion": 

			
		

	





	

		

			

				
					
机场云商小程序sign分析，签名分析，机场下单包分析

				
			

			

				

					Weixin_lnzhwh的博客
				

				

					11-03
					
					2803
					
				

			

		

		

			
				
精易编程助手（其他工具也可以代替，发包工具即可。用真机抓包(这个小程序不允许PC端访问)一共5个参数，我们把这5个参数补齐。根据得到的信息，需要反编译小程序。已经正确提交，并返回操作成功。得到商品ID，就可以下单了。

			
		

	





	

		

			

				
					
微信小程序，Python爬虫抓包采集实战，采集某成考题库小程序

					
热门推荐

				
			

			

				

					梦想橡皮擦，专栏100例写作模式先行者，现象级专栏 《Python 爬虫 100 例》作者、《滚雪球学 Python 专栏》原创者
				

				

					08-16
					
					2万+
					
				

			

		

		

			
				
加密参数，此时就比较麻烦了，因为我们没有办法进行调试，如果该参数需要解析，那还面临小程序解包这一问题，不过后续的实际分析，让我松了一口气，该参数并未参加运算。找到下述路径的文件夹，然后清空该文件夹，接下来重新启动微信，此时就可以获取小程序中的 https 请求了，效果图如下所示。如果仅有这些参数，此时可以在一空白谷歌浏览器中进行迭代，即判断是否可以直接通过题号切换，获取所有试题。题目获取成功，得到题干，选项，解析，包括试卷题目总数等信息，有这些数据之后，就可以进入编码实战环节。...

			
		

	





	

		

			

				
					
某小程序签名生成（二）

				
			

			

				

					qq_40979337的博客
				

				

					08-11
					
					785
					
				

			

		

		

			
				
签名生成 纸老虎篇

			
		

	





	

		

			

				
					
微信小程序签名(绝不黑屏)

				
			

			

				

					qq_34631220的博客
				

				

					08-12
					
					681
					
				

			

		

		

			
				
微信小程序签名(绝不黑屏)

			
		

	





	

		

			

				
					
小红书微信小程序X-Sign参数解密

				
			

			

				

					02-24
				

			

		

		

			
				
小红书微信小程序X-Sign参数解密

			
		

	





	

		

			

				
					
某WX小程序包签名生成

				
			

			

				

					qq_40979337的博客
				

				

					08-02
					
					689
					
				

			

		

		

			
				
小程序反编译

			
		

	





	

		

			

				
					
小程序支付 xml拼接  和生成 sign签名 代码

				
			

			

				

					hou9876543210的博客
				

				

					04-22
					
					571
					
				

			

		

		

			
				
前一段时间 写了小程序支付流程  下单中 需要调用两个方法get_sign（）生成sign 签名  get_req_xml拼接xml 忘记代码上传了 今天有人评论  现在补充下  直接上代码 代码如下
def get_sign(params):
    """
    生成sign 签名
    """
    stringA = key_value_url(params)
    stringSignTemp = stringA + 'key=' + api_key  # APIKEY, API密钥，需要

			
		

	





	

		

			

				
					
贵高速sign加密算法

				
			

			

				

					野蛮女孩的博客
				

				

					04-09
					
					4210
					
				

			

		

		

			
				
function sendtel(){
		var tels = $("#tel").val();
		if(tels){
			console.log(tels);
		}else{
			alert("请输入手机号");
		}
		var strs= new Array(); //定义一数组
		strs=tels.split("-"); //字符分割
		var lis = '<li class="item" >'+'正在发送中请稍等'+'</li>';
		for ...

			
		

	





	

		

			

				
					
得物小程序sign值加密

				
			

			

				

					骑毛驴的猴的博客
				

				

					06-21
					
					4380
					
				

			

		

		

			
				
声明：本文只作学习研究，禁止用于非法用途，否则后果自负，如有侵权，请告知删除，谢谢！

该商品搜索接口

该商品详情接口

想了解的加主页V



			
		

	





	

		

			

				
					
某物小程序sign逆向-记录

				
			

			

				

					weixin_41259961的博客
				

				

					08-17
					
					4665
					
				

			

		

		

			
				
这篇文章主要记录一下小程序的反编译过程和sign的逆向。

			
		

	





	

		

			

				
					
关于公众号跳转小程序的签名问题

				
			

			

				

					m0_50132136的博客
				

				

					11-22
					
					846
					
				

			

		

		

			
				
关于公众号跳转小程序的签名问题

			
		

	





	

		

			

				
					
记一次逆向破解微信小程序参数签名

				
			

			

				

					Askshhbs的博客
				

				

					04-21
					
					9762
					
				

			

		

		

			
				
前言

在一个平淡无奇的午后，接到一个新的活——对某微信小程序进行渗透测试。老规矩，倒了杯茶，准备开始新一天轰轰烈烈的干活（摸鱼）。

然鹅，BurpSuite 上号不到 2 min 我就发现今天的砖头有点烫手了（晚饭可能都不香了）……事情是这样的：



没错，这货不讲武德，直接加了个时间戳参数timestamp、签名参数signature用来防止数据包重放……那这还玩个锤子！

这我还能说啥，合上电脑准备睡觉！但下一秒还是理智占据了上峰……算了，不能跟 RMB 过不去，还是老实搬砖干活为妙！

小程序逆

			
		

	





	

		

			

				
					

				
			

			

				

					
				

			

		

		

			
				

			
		

	



              




          




        



    





    



      

      

        
      

      





	

		评论	
	

	
	




  

    

      添加红包
      
    

    

      

        
        

          
          
        

        
请填写红包祝福语或标题

      

      

        
        

          
          个
        

        
红包个数最小为10个

      

      

        
        

          
          元
        

        
红包金额最低5元

      

      

        
        

          当前余额3.43元
          前往充值 >
        

      

      

        

          需支付：10.00元
        

        
        
      

    

  





  

    
    
  

  

    
    
  








  

    

      

        

          

            
            
成就一亿技术人!

          

          

        

        

          

          

            领取后你会自动成为博主和红包主的粉丝
            规则
          

        

      

      

        

          

            
              
            
            

              
hope_wisdom
 发出的红包
            

          

        

        

          

          

          

        

      

    

    

  





	
打赏作者

	

		

		
			
		
		

		

			
考古学家lx(李玺)

			
你的鼓励将是我创作的最大动力

		

	

	

			

	

	

    ¥1
    ¥2
    ¥4
    ¥6
    ¥10
    ¥20
	

	

		

			

				

					扫码支付：¥1
				

				

					

					
					获取中
					

				

				

					
					
					扫码支付
				

			

		

		

			
您的余额不足，请更换扫码支付或充值

			
打赏作者

		

	



      
      

      
实付元

      
使用余额支付

      

        

          

            
            点击重新获取
          

        

        
扫码支付

      

      

        
          
            
          
          
        
      

      

        
        钱包余额
          0
          

            
            

              

                
抵扣说明：

                
 1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
 2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

              

            

          

      

      余额充值