针对微信小程序的渗透测试(附实战)

深夜难眠，回想起今天waf上一大堆误报和寥寥无几的告警，甲方爸爸提供的两荤一素已经换成了白粥榨菜，农夫已经换成了怡宝，猪肉换成了榨菜，或许我们是时长一个月实习生的身份，已经彻底暴露了，明天不知道是不是只能吃开水泡面了。唉，明天又要穿上白衬衫，继续假装自己是5年工作经验的安全专家，今晚终于认清现实,活捉红队0day依然是我们遥不可及的梦。

 生而为人，我很抱歉。

材料准备：

burp suite、模拟器(把微信装好)、node.js、wxappUnpacker、root explorer

操作流程：

步骤1: 配置Burp和模拟器（模拟器需导入ca证书），打开模拟器的WLAN-->高级设置-->输入物理机的ip以及一个没被占用的端口，Burp用于代理该端口

步骤2：打开微信-->随便点击一个小程序进入小程序主界面，然后打开文件管理器

在/data/data/com.tencent.mm/MicroMsg/xxxxxxx(不同微信文件夹也不同)/appbrand/pkg/目录下存放着刚才访问这个小程序的两个数据包，

两个包分为子包和主包 

压缩后通过模拟器的微信发送到物理机进行反编译

 复制 文本

依赖包安装好后 使用命令node wuWxapkg.js C:\xxxxxx\xxxxxx\_-1971317095_1.wxapkg

进行反编译(如果是子包的话需要加-s参数)

接下来就是针对所有js、html进行漏洞分析，寻找突破口

通过单引号 和 '--（单引号+mssql闭合） 发现返回包不同 

使用单个单引号 报错:系统故障

使用 单引号跟闭合 返回正确数据包  因此判断该处通过单引号闭合

最后验证存在SQL注入

 内容来源：https://www.bilibili.com/read/cv9986715