0x01 工具介绍
该工具支持自动化反编译微信小程序，小程序安全评估工具，发现小程序安全问题，自动解密，解包，可还原工程目录，支持Hook，小程序修改，纯Golang实现，一个用于自动化反编译微信小程序的工具，小程序安全利器， 自动解密，解包，可还原工程目录，支持微信开发者工具运行。
下载地址在末尾
0x02 功能简介
因为采用了UPX压缩了软件体积，工具运行时可能会出现误报，可以放心使用，工具不会对您的电脑造成任何损害。
- 小程序自动解密
- 小程序自动解包，支持代码美化输出
- Json美化
- JavaScript美化
- Html美化
- 支持还原源代码工程目录结构
- Json配置文件还原
- JavaScript代码还原
- Wxml代码还原
- Wxss代码还原
- Hook小程序，动态调试，开启小程序F12
- 重新打包wxapkg，可破解小程序
- 监听将要打包的文件夹，并自动打包
- 敏感数据导出
- 支持小游戏
工程结构还原
还原前
还原后
微信开发者工具运行
Hook支持版本列表
| 小程序版本 |
|---|
| 9193_x64 |
| 11159_x64 |
| 9185_x64 |
| 9129_x64 |
| 9115_x64 |
| 8555_x64 |
| 9105_x64 |
| 8555_x64 |
| 9079_x64 |
| 8531_x64 |
| 8529_x64 |
| 8519_x64 |
| 8501_x64 |
| 8461_x64 |
| 8447_x64 |
如何查看当前运行版本？
开启小程序F12
运行前先启动微信（建议小号，有被封号风险）
<本程序> -hook
重新打包运行
<本程序> -repack=<输入目录> [-out=<输出目录或文件>] [-watch]
效果示例
0x03更新说明
d9293bd feat: 添加敏感信息导出功能fdf1d7e fix: css transformdc55a26 fix: json parse9208f2c fix: xml parse
0x04 使用介绍
用法
-id=<输入AppID> -in=<输入文件1,输入文件2> 或 -in=<输入目录> -out=<输出目录> [-ext=<文件后缀>] [-restore] [-pretty] [-noClean] [-help] [-hook] [-save] [-repack=<输入目录>] [-watch] [-sensitive]参数说明
-id string微信小程序的AppID包已解密，可不指定例：-id=wx7627e1630485288d-in string输入文件路径（多个文件用逗号分隔）或输入目录路径自动检测，已解密的包，自动解包，未解密的包，自动解密后解包解密后的包会保存到输入目录下以AppID命名的文件夹例：-in="app.wxpkg,app1.wxapkg"例：-in="C:UsersmiDesktopApplet64"-out string输出目录路径（如果未指定，则默认保存到输入目录下以AppID命名的文件夹）-restore是否还原源代码工程目录结构，默认不还原-pretty是否美化输出，默认不美化，美化需较长时间-ext string处理的文件后缀 (default ".wxapkg")例：-ext=.wxapkg-noClean是否清理反编译的中间文件，默认清理-hook是否Hook小程序，动态调试，开启F12，默认不Hook注意：目前仅支持Windows，建议小号，有封号风险-save是否保存解密后的文件，默认不保存-repack string重新打包目录路径例：-repack="C:UsersmiDesktopApplet64"注意：目前仅支持一次打包一个文件，同时仅支持未被解析的源文件（未使用-restore）-watch是否监听将要打包的文件夹，并自动打包，默认不监听-sensitive是否导出敏感数据，默认不导出，导出后会在工具目录下生成sensitive_data.json文件，支持自定义规则-help显示帮助信息
获取微信小程序AppID
文件夹名即为AppID
进入文件夹下，即可找到.wxapkg文件
0x05 项目地址
https://github.com/Ackites/KillWxapkg/releases/download/v2.4.0/KillWxapkg_2.4.0_windows_amd64.exe
原文始发于微信公众号（渗透安全HackTwo）：微信小程序自动化反编译Hook工具|小程序反编译
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论