搜索

[1065] 2021-07-19_微信小程序渗透测试技巧

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-16
2021-07-19_微信小程序渗透测试技巧 微 信 小 程 序 渗 透 测 试 技 巧 原 创   B y p a s s   B y p a s s   2 0 2 1 - 0 7 - 1 9 随 着 小 程 序 数 量 的 爆 发 式 增 长 ， 其 特 有 的 安 全 风 险 也 逐 步 凸 显 出 来 。 本 文 基 于 微 信 小 程 序 测 试 过 程 中 的 解 包 及 抓 包 的 技 巧 ， 总 结 下 微 信 小 程 序 安 全 测 试 的 思 路 。 1 、 小 程 序 解 包 （ 反 编 译 ） 、 小 程 序 解 包 （ 反 编 译 ） （ 1 ） 安 装 手 机 模 拟 器 ， 比 如 说 夜 神 、 M u M u （ 2 ） 下 载 和 安 装 两 个 应 用 ， 微 信 和 R E 文 件 管 理 器
（ 3 ） 获 取 r o o t 权 限 （ 4 ） 打 开 微 信 ， 搜 索 相 对 应 的 小 程 序 ， 然 后 再 打 开 R E 文 件 管 理 器 ， 定 位 到 目 录 ：
（ 5 ） 下 载 微 信 小 程 序 反 编 译 脚 本 ， 解 包 。 解 主 包 ： 解 分 包 : h t t p s : / / g i t h u b . c o m / x u e d i n g m i a o j u n / w x a p p U n p a c k e r . g i t . / b i n g o . s h   主 包 . w x a p k g . / b i n g o . s h   分 包 . w x a p k g   - s = 主 包 目 录
合 并 分 包 内 容 ， 成 功 获 取 小 程 序 前 端 源 码 。 基 于 小 程 序 的 前 端 源 码 ， 我 们 可 以 从 J S 敏 感 信 息 泄 露 、 隐 藏 接 口 漏 洞 等 方 向 进 行 漏 洞 挖 掘 。 2 、 小 程 序 抓 包 、 小 程 序 抓 包 抓 取 数 据 包 是 小 程 序 安 全 测 试 中 最 关 键 的 一 步 。 抓 包 的 方 式 有 多 种 ， 比 如 使 用 A n d r o i d 内 核 版 本 7 . 0 以 下 的 模 拟 器 ， 通 过 X P o s e d + J u s t T r u s t M e 抓 包 ； 使 用 微 信 版 本 7 . 0 以 下 通 过 B u r p   C A 抓 包 。 这 里 分 享 一 个 比 较 简 单 的 方 法 ， 使 用 C h a r l e s 进 行 小 程 序 抓 包 。 （ 1 ） 环 境 准 备 本 机 电 脑 开 启 W i f i 共 享 ， 将 自 己 手 机 和 电 脑 连 上 同 一 个 w i f i 。 （ 2 ） C h a r l e s 设 置 ： 下 载 地 址 ： 第 一 步 ： 第 一 步 ： 配 置 H T T P 代 理 ， 设 置 代 理 ： 主 界 面 — P r o x y — P r o x y   S e t t i n g s 选 择 在 8 8 8 8 端 口 上 监 听 ， 然 后 确 定 。 勾 选 了 S O C K S   p r o x y ， 还 能 截 获 到 浏 览 器 的 h t t p 访 问 请 求 。 h t t p s : / / w w w . c h a r l e s p r o x y . c o m / d o w n l o a d /
第 二 步 ： 第 二 步 ： 配 置 S S L 代 理 ： 首 先 在 c h a r l e s 的   P r o x y 选 项 选 择 S S L   P r o x y   S e t t i n g s 第 三 步 ： 第 三 步 ： 为 手 机 设 置 代 理 在 手 机 接 入 电 脑 w i f i ， 配 置 手 动 代 理 ， 输 入 安 装 C h a r l e s 的 电 脑 的 网 络 地 址 ， 端 口 填 8 8 8 8 。 以 I O S 为 例 ， 在 S a f r i 上 打 开 C h a r l e s 的 根 证 书 下 载 网 址 ：   c h l s . p r o / s s l   ， 点 击 允 许 ， 开 始 下 载 。
第 四 步 ： S S L   代 理 设 置 ， 在 P r o x y - S S L   P r o x y i n g   S e t t i n g s ， 添 加 域 名 到 这 里 完 成 设 置 ， 通 过 手 机 访 问 就 可 以 看 到 获 取 到 小 程 序 的 数 据 包 。
基 于 小 程 序 的 数 据 包 ， 我 们 可 以 看 到 前 后 端 业 务 交 互 的 过 程 ， 重 点 关 注 业 务 逻 辑 漏 洞 、 A P I   接 口 可 能 存 在 的 安 全 漏 洞 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理