【微信小程序渗透测试】微信小程序抓包及反编译通杀方法,附漏洞挖掘案例
一、微信小程序抓包通杀方法
微信PC端+ Proxifier + burp
burp设置
监听本地8080端口,导出证书,双击并安装在本地计算机上
双击安装
选择本地计算机
Proxifier 设置
设置代理,将抓包流量转发到本地8080端口
点击配置文件->代理服务器->添加 ,设置如下:
设置代理规则,抓取小程序数据包
点击配置文件 -> 代理规则 -> 添加 -> 在应用程序中填写小程序的进程 WeChatAppEx.exe ,设置如下:
然后点击微信小程序,就可以开始抓包了。
二、实战
比如某小程序抓包,一看这数据包,一整狂喜,连cookies都没有
针对数据包中提交的几个参数进行爆破 (wxs_id和submit_status参数)
可以看出遍历出了很多信息
三、小程序反编译
搜先找到微信小程序源码存储位置:
打开PC版微信设置
找到文件管理,查看微信文件存储位置,打开文件夹
然后进入其上一级目录,WeChat Files目录,找到Applet目录
该目录下 wx开头的就是小程序文件夹
我们可以通过最新的修改日期,找到我们刚刚打开的小程序。
为了方便反编译找到小程序,建议打开小程序之前,把这些文件全部删除,然后重新加载测试的小程序。
开始反编译
工具:
反编译工具:unveilr (网上已经下载不到了,下载方式见文末)
小程序源码查看工具:微信开发者工具 (官方可下载,直接百度搜索)
将unveilr 解压,然后在当前目录打开cmd
unverilr 使用参数如下:
反编译方法,找到要反编译的文件夹
直接输入命令
unveilr "路径"
反编译成功后,会在当前目录下生成一个 APP文件夹,这里面就是小程序源码
然后使用微信小程序开发者工具打开
选择小程序 --> 导入
导入时候,选择不使用云服务, AppID 可点击测试号,自动获取。
然后选择信任并运行
一般我们会看js文件和json文件,js文件包含小程序调用的JS文件。 json文件包含小程序的路径,一般可以用来测试未授权访问。
到这里反编译就算结束了,反编译出来的源码,其实就类似web渗透过程中,找前端源码一样。
反编译简单小案例
反编译源码,导入微信开发者工具后,在全局搜索匹配关键字,找到OSS信息泄露
利用OSS连接客户端连接
除了这些简单的,还有对某些参数进行逆向,破解加密算法后获取到一些敏感信息。
文中涉及工具?Proxifier、unverilr ?关注微信公众号 网络安全透视镜 回复:20231229 获取。
本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。 如若内容造成侵权/违法违规/事实不符,请联系我的编程经验分享网邮箱:veading@qq.com进行投诉反馈,一经查实,立即删除!