微信小程序渗透测试技巧

随着小程序数量的爆发式增长，其特有的安全风险也逐步凸显出来。本文基于微信小程序测试过程中的解包及抓包的技巧，总结下微信小程序安全测试的思路。

1、小程序解包（反编译）

（1）安装手机模拟器，比如说夜神、MuMu

（2）下载和安装两个应用，微信和RE文件管理器

（3）获取root权限

（4）打开微信，搜索相对应的小程序，然后再打开RE文件管理器，定位到目录：

（5）下载微信小程序反编译脚本，解包。

https://github.com/xuedingmiaojun/wxappUnpacker.git

解主包：

./bingo.sh 主包.wxapkg

解分包:

./bingo.sh 分包.wxapkg -s=主包目录

合并分包内容，成功获取小程序前端源码。

基于小程序的前端源码，我们可以从JS敏感信息泄露、隐藏接口漏洞等方向进行漏洞挖掘。

2、小程序抓包

抓取数据包是小程序安全测试中最关键的一步。抓包的方式有多种，比如使用Android内核版本7.0以下的模拟器，通过XPosed+JustTrustMe抓包；使用微信版本7.0以下通过Burp CA抓包。

这里分享一个比较简单的方法，使用Charles进行小程序抓包。

（1）环境准备

本机电脑开启Wifi共享，将自己手机和电脑连上同一个wifi。

（2）Charles设置：

下载地址：

https://www.charlesproxy.com/download/

第一步：配置HTTP代理，设置代理：主界面—Proxy—Proxy Settings

选择在8888端口上监听，然后确定。勾选了SOCKS proxy，还能截获到浏览器的http访问请求。

第二步：配置SSL代理：首先在charles的 Proxy选项选择SSL Proxy Settings

第三步：为手机设置代理

在手机接入电脑wifi，配置手动代理，输入安装Charles的电脑的网络地址，端口填8888。以IOS为例，在Safri上打开Charles的根证书下载网址： chls.pro/ssl ，点击允许，开始下载。

第四步：SSL 代理设置，在Proxy-SSL Proxying Settings，添加域名

到这里完成设置，通过手机访问就可以看到获取到小程序的数据包。

基于小程序的数据包，我们可以看到前后端业务交互的过程，重点关注业务逻辑漏洞、API 接口可能存在的安全漏洞。

微信小程序渗透测试技巧相关推荐

微信小程序渗透测试技巧-小程序解包-反编译
微信小程序渗透测试技巧-小程序解包-反编译简述安装手机模拟器,比如说夜神.MuMu 下载和安装两个应用,微信和RE文件管理器获取root权限打开微信,搜索相对应的小程序,然后再打开RE文件管理 ...
安卓APP和小程序渗透测试技巧总结
安卓APP和小程序渗透测试技巧总结免责声明: 安卓7以上抓取https流量包证书信任首先安装OpenSSL,此步骤不再赘述,可以参考百度. 然后安装模拟器(我使用的是夜神模拟器). 导出需要的证 ...
微信小程序打开红包的css_微信小程序 css使用技巧总结
微信小程序 css使用技巧 1:用纯CSS创建一个三角形的原理把上.左.右三条边隐藏掉(颜色设为 transparent) .demo { width: 0; height: 0; border-wi ...
【狼人杀plus全记录】没有公网IP照样完美解决微信小程序本地测试问题，超简单方法！
前文:在开发微信小程序后台的时候,我们需要使用域名进行跳转访问,按照传统的思路我们的域名只能填写一个公网IP,然而多数情况下我们并没有公网IP 方法非常简单,有两种思路: 第一种,将域名定向到局域网I ...
如何提升微信小程序排名的技巧？
程序排名是指小程序在搜索引擎中的排名,它可以帮助小程序获得更多的曝光率和流量. 要想让自己的微信小程序排名更靠前,需要采取一些技巧. 今天厦门巨神峰小编给大家分享关于微信小程序排名提升的技巧. 微信小 ...
uniapp如何真机测试、微信小程序端测试与模拟器测试
1.uniapp如何在真机测试首先,你的手机要打开开发者模式,下拉选择USB调试(各个手机开发开发者模式的方式不同,不懂如何打开USB调试的可以百度搜索). 接着连接数据线,选择文件传输. 最后在H ...
微信小程序原生开发技巧及跳坑心得
常用功能 1.事件带参在微信小程序中,给事件的回调函数内部传递参数不是通过函数调用传递实参的方式传递的,而是通过在view上绑定属性,然后在回调函数的事件对象的currentTarget属性中的da ...
微信小程序提供测试账号微信小程序开发注意事项
小程序消息推送至公众号(服务号) 可以通过小程序openid推送到公众号(服务号),要求如下小程序和公众号的主体需要保持一致在公众号中需要关联小程序: 消息模板消息模板库中的模板在不同公众号引用 ...
微信小程序性能优化技巧
微信小程序如果想要优化性能,有关键性的两点:提高加载性能和提高渲染性能. 一.提高加载性能当用户点击小程序后发生了什么? 资源准备(代码包下载) -- 业务代码注入和渲染 -- 异步请求数据 ...

微信小程序渗透测试技巧

微信小程序渗透测试技巧相关推荐

最新文章

热门文章