本文内容仅用于网络安全技术学习与交流，所有操作均在授权测试环境下完成。严禁将文中技术用于未授权检测与非法攻击，违者责任自负。

SRC 挖掘、攻防演练中，微信小程序是很好的突破口。它和普通网页渗透有区别：无法直接抓包、调试困难，加密流量排查棘手，存在专属漏洞，还有各类访问限制。本文从抓包、逆向、漏洞、技巧四个方向讲解，小程序渗透底层和 Web 渗透一致，搞定这些难点就能正常开展测试。

抓包篇

方法一：ProxyPin+Burpsuite对小程序进行抓包

proxypin是一个开源免费抓包工具，支持Windows、Mac、Android、IOS、Linux 全平台抓包。

优势：

脚本: 支持编写JavaScript脚本来处理请求或响应。

请求重写: 支持重定向，支持替换请求或响应报文，也可以根据增则修改请求或或响应。

请求屏蔽: 支持根据URL屏蔽请求，不让请求发送到服务器。

①安装证书

安装证书到本系统，选择“受信任的根证书颁发机构”

②成功抓包

③将流量转发到burpsuite

④不想被抓包的域名添加到代理域名黑名单后，将不会抓相关域名的数据包，可以减少发送到burpsuite的数据包，减少burpsuite处理的数据，提升速度，尤其是开了被动扫描插件的情况下。

方法二：Proxifier+Burpsuite对小程序进行抓包

Proxifier是一个功能强大的网络代理工具，可以进行流量转发，可自定义灵活度很高。

①添加代理服务器

代理端口需要与burpsuite端口保持一致

②创建规则

WeChatApp.exe;WechatBrowser.exe;WeChatAppEx.exe

③成功抓包

如果配置完成后，无法抓包，将微信退出重新登陆后再进行尝试

逆向篇

一、微信小程序开启devtools

使用大佬写的WeChatOpenDevTools工具，即可一键开启devtools。建议使用小号，避免微信被封。不是每个微信版本都可以开启devtools，很多会开启失败，我这里为大家准备了一个可以使用的微信版本

①安装依赖库

pip3  install -r requirements.txt

②开启微信小程序中的F12（devtools）

直接运行以下命令

python main.py -x

③打开要开启DevTools的小程序，即可自动hook开启DevTools（如果已经打开小程序，点击重新进入小程序也行）

python main.py -c

④开启微信自带浏览器中的F12（devtools）

开启只要三分钟，踩坑却花了三小时。开启操作本身很简单，但过程中的坑不少，下面说说我都遇到了哪些：

1. 我这边用的是 Python 3.10。某些低版本 Python 可能装不上 requirements 里指定的 frida 16.1.11 依赖库，安装时会直接报错。如果图省事自己装一个低版本 frida，又可能引出其他兼容问题；不怕麻烦的话，可以逐个版本调试试试。

2. 装过新版微信的电脑上直接覆盖安装老版本，是开不了 devtools 的。我的做法是用 Uninstall Tool 把新版微信彻底卸载（连带注册表一起清掉），再安装老版本就能正常开启了。推测是之前的覆盖安装或卸载残留导致的。

3. 开启微信自带浏览器的 F12 时，如果提示"请退出所有微信实例后再执行该命令"，把微信完全退出后重试即可。

二、微信小程序反编译

①使用 wxapkg.exe scan 命令来扫描所有小程序。需要联网获取小程序的名称、路径、wxid（用于后续解密）等信息

②使用键盘上下键选中想要处理的小程序，选中以后，点击enter键即可执行解密+解包

③如果这里没有看到你要反编译的小程序，可以将要测试的程序添加到自己的小程序，然后再重新进入查看。添加以后，进入小程序查看，如果还没有发现要测试的小程序，点击重新进入小程序然后再查看

④反编译成功

⑤反编译成功后的文件