小程序解包渗透测试

工具介绍:Winhex和Notepad++

小程序

首先登陆微信PC端，打开小程序，此时电脑里面会缓存这个小程序的包

之后打开软件Winhex，把这个包拖到软件里面。

如图中所示，我们需要用到这个软件自带的计算器,打开计算器，左上角的查看选择程序员选项,下面选择十六进制。

然后我们来看包的左侧最后一位为5E，右侧的为^,当然这个加密过的现在所要做的就是把它解密出来。通常右侧的最后一位是;或者是>  这里的判断方式就是猜测

首先我们猜测最后一位是>即为0x3e使用计算器5E Xor 3e =60

然后我们使用图中所标红的地方转换一下

很显然，没有解包成功，，，此时选择Ctrl+Z  把包返回到原来的状态

然后我们猜测最后一位是;即为0x3b使用计算器5E Xor 3b =65

之后转换一下，看结果。

出现明文，解包成功，，，

这里说一下，如果第二次尝试仍然不成功，那就再试试左侧的倒数第二个十六进制是不是;或者>依次往前试,实测最多试到倒数第四位。

这里得到明文之后，Ctrl+S保存一下

然后Notepad++打开

仍然很多乱码，把乱码删掉即可,然后编码改成utf-8

复制此代码去美化一下

美化网址为https://tool.lu/js/

然后再复制到Notepad++   语言改成js

接下来就是去搜关键字https://、post、get、url、path、wx.request等等

去找接口了,有未授权访问的接口或者敏感信息，还有很多好东西。

关注公众号并回复:小程序解包工具  可以领取Winhex软件

原文始发于微信公众号（赛瑞攻防实验室）：小程序解包渗透测试