目錄
小程序獲取-各大平臺(tái)&關(guān)鍵字搜索
小程序體驗(yàn)-凡科建站&模版測試上線
小程序抓包-Proxifier&BurpSuite聯(lián)動(dòng)
小程序逆向-解包反編譯&動(dòng)態(tài)調(diào)試&架構(gòu)
思維導(dǎo)圖
章節(jié)知識(shí)點(diǎn)
Web：語言/CMS/中間件/數(shù)據(jù)庫/系統(tǒng)/WAF等
系統(tǒng)：操作系統(tǒng)/端口服務(wù)/網(wǎng)絡(luò)環(huán)境/防火墻等
應(yīng)用：APP對(duì)象/API接口/微信小程序/PC應(yīng)用等
架構(gòu)：CDN/前后端/云應(yīng)用/站庫分離/OSS資源等
技術(shù)：JS爬蟲/敏感掃描/端口掃描/源碼獲取/接口泄漏等
技術(shù)：APK反編譯/小程序解包反編譯/動(dòng)態(tài)調(diào)試APP&小程序等
技術(shù)：指紋識(shí)別/Github監(jiān)控/CDN繞過/WAF識(shí)別/蜜罐識(shí)別等
小程序獲取-各大平臺(tái)&關(guān)鍵字搜索
-微信
-百度
-支付寶
-抖音頭條
直接搜索尋找
小程序體驗(yàn)-凡科建站&模版測試上線
凡科快速搭建小程序
測試：https://qz.fkw.com/
參考：https://blog.csdn.net/qq_52445443/article/details/122351865
小程序結(jié)構(gòu)
1.主體結(jié)構(gòu)
小程序包含一個(gè)描述整體程序的 app 和多個(gè)描述各自頁面的 page。
一個(gè)小程序主體部分(即app)由三個(gè)文件組成，必須放在項(xiàng)目的根目錄，如下：
? ? 文件 ? ? ? ? ? ? ? ? 必需 ? ? ? ? ? ? ? 作用 ? ?
? ? app.js ? ? ? ? ? ? ? 是 ? ? ? ? ? ?小程序邏輯
? ? app.json ? ? ? ? ? ? 是 ? ? ? ? ? ?小程序公共配置
? ? app.wxss ? ? ? ? ? ? 否 ? ? ? ? ? ?小程序公共樣式表
2.一個(gè)小程序頁面由四個(gè)文件組成，分別是: ? ??
? ? xxx.js ? ? ? ?頁面邏輯
? ?xxx.json ? ? ?頁面配置
? ? xxx.wxml ? ? ?頁面結(jié)構(gòu)
? ? xxx.wxss ? ? ?頁面樣式
3.項(xiàng)目整體目錄結(jié)構(gòu)
? ? pages ? ? ? ? ? ? ? ?頁面文件夾
? ? index ? ? ? ? ? ? ? ?首頁
? ? logs ? ? ? ? ? ? ? ? 日志
? ? utils ,?util ? ? ? ? ? ? ? ? 工具類(mina框架自動(dòng)生成,你也可以建立一個(gè)：api)
? ? app.js ? ? ? ? ? ? ? 入口js(類似于java類中的main方法)、全局js
? ? app.json ? ? ? ? ? ? 全局配置文件
? ? app.wxss ? ? ? ? ? ? 全局樣式文件
? ? project.config.json ?跟你在詳情中勾選的配置一樣
? ? sitemap.json ? ? ? ? 用來配置小程序及其頁面是否允許被微信索引
?
小程序抓包-Proxifier&BurpSuite聯(lián)動(dòng)
對(duì)抓到的IP或域名進(jìn)行Web安全測試
對(duì)抓到的IP或域名進(jìn)行API安全測試
對(duì)抓到的IP或域名進(jìn)行端口服務(wù)測試
小程序逆向-解包反編譯&動(dòng)態(tài)調(diào)試&架構(gòu)
對(duì)源碼架構(gòu)進(jìn)行分析
更多的資產(chǎn)信息
敏感的配置信息
未授權(quán)訪問測試
源碼中的安全問題
相關(guān)工具：
小程序多功能組手
復(fù)雜操作：https://www.cnblogs.com/oodcloud/p/16964878.html
簡單工具：http://xcx.siqingw.top/
-微信官方開發(fā)工具
https://developers.weixin.qq.com/miniprogram/dev/devtools/stable.html
首先下載小程序助手和微信小程序官方開發(fā)工具
首先打開微信小程序包的相關(guān)目錄D:\WeChat Files\Applet
微信設(shè)置→文件管理→即可找到目錄
- 將里面wx開頭的微信小程序生成的緩存包全部刪除（便于后期確認(rèn)哪個(gè)是目標(biāo)緩存包）
- 再次打開小程序，查看目錄下出現(xiàn)目標(biāo)緩存包，點(diǎn)擊進(jìn)入直到找到APP.wxapkg以此尾綴結(jié)尾的如果出現(xiàn)多個(gè)，記得把a(bǔ)pp.wxapkg排序到最前即可
如果有多個(gè)全選打開，_APP_.wxapkg為首個(gè)
一般選擇新版反編譯，如果看著小程序比較老舊就選擇舊版反編譯
解包成功后再刷新
選中后進(jìn)行反編譯，文件目錄下出現(xiàn)反編譯源碼，還可以再修復(fù)一下源碼
打開微信官方開發(fā)工具，并拉入反編譯好的源碼即可
然后點(diǎn)擊微信開發(fā)者工具，默認(rèn)即可
- 如果出現(xiàn)大面積報(bào)錯(cuò)無內(nèi)容，點(diǎn)擊詳情→本地設(shè)置→取消勾選將JS編譯為ES5即可
點(diǎn)擊可視化
點(diǎn)擊左上角可視化，并打開源碼目錄，點(diǎn)擊list下的list.wxml發(fā)現(xiàn)頁面跳轉(zhuǎn)
點(diǎn)擊index.wxml發(fā)現(xiàn)又跳轉(zhuǎn)回首頁頁面，點(diǎn)擊category.wxml發(fā)現(xiàn)頁面跳轉(zhuǎn)到欄目頁面
打開轉(zhuǎn)發(fā)工具和burp進(jìn)行抓取小程序的數(shù)據(jù)包，在首頁源碼中進(jìn)行對(duì)抓包內(nèi)容檢索，發(fā)現(xiàn)一一對(duì)應(yīng)，例如：icl/2 在源碼找得到
- 仔細(xì)檢閱源碼可以發(fā)現(xiàn)，其中回泄露一些資源如：域名，圖片等資產(chǎn)
- 還可能回遇到繞過授權(quán)，直接訪問到資產(chǎn)信息的情況
- 還可以在源碼嘗試全局搜索，Accesskey，查看是否泄露oss的密鑰
文章來源：http://www.zghlxwxcb.cn/news/detail-845824.html
思維導(dǎo)圖
文章來源地址http://www.zghlxwxcb.cn/news/detail-845824.html
到了這里，關(guān)于Day18：信息打點(diǎn)-小程序應(yīng)用&解包反編譯&動(dòng)態(tài)調(diào)試&抓包&靜態(tài)分析&源碼架構(gòu)的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
![微信小程序逆向 小程序包使用unveilr工具解包后在開發(fā)者工具報(bào)[ WXML 文件編譯錯(cuò)誤] xxx.wxs Unexpected token `}`](https://imgs.yssmx.com/Uploads/2024/02/717369-1.png)
