论坛
潜水/灌水快乐,沉淀知识,认识更多同行。
ToB圈子
加入IT圈,遇到更多同好之人。
朋友圈
看朋友圈动态,了解ToB世界。
ToB门户
了解全球最新的ToB事件
博客
Blog
排行榜
Ranklist
文库
业界最专业的IT文库,上传资料也可以赚钱
下载
分享
Share
导读
Guide
相册
Album
记录
Doing
搜索
本版
文章
帖子
ToB圈子
用户
免费入驻
产品入驻
解决方案入驻
公司入驻
案例入驻
登录
·
注册
只需一步,快速开始
账号登录
立即注册
找回密码
用户名
Email
自动登录
找回密码
密码
登录
立即注册
首页
找靠谱产品
找解决方案
找靠谱公司
找案例
找对的人
专家智库
悬赏任务
圈子
SAAS
IT评测·应用市场-qidao123.com
»
论坛
›
软件与程序人生
›
后端开发
›
Java
›
2023年最新微信小程序抓包教程
2023年最新微信小程序抓包教程
王柳
金牌会员
|
2023-4-20 16:22:59
|
显示全部楼层
|
阅读模式
楼主
主题
924
|
帖子
924
|
积分
2772
01
开门见山
隔一个月发一篇文章,不过分。
首先回顾一下《微信绑定手机号数据库被脱库事件》,我也是第一时间得知了这个消息,然后跟踪了整件事情的经过。下面是这起事件的相关截图以及近日流出的一万条数据样本:
个人认为这件事也没什么,还不如关注一下之前45亿快递数据查询渠道疑似在近日复活的消息。
消息是这么传的,真假尚未确定,因为笔者不会冒着查询个人信息意味着账号和个人信息绑定的风险去测试是否为真,但是可以知道的是之前的查询渠道叫“星链”,现在叫做星盾。
为什么要提起这两件事情,因为我要写的微信小程序抓包教程与第一个事件是有关联的,也可以说是受“旁击侧敲”的启发。从事件发生起,某圈子就迅速流行起了“
如何获得某一微信账号的wxid
”的问题,并且也有人迅速的给出了思路,方法也很简单,我这里简单复现一遍:
特别说明: 本次的思路仅限iOS系统(苹果系统)
1.苹果应用商店安装“Stream”软件:
2.配置代理,安装证书。 内置教程,此处省略。
3.开始抓包。 (为了方便我用iPad测试)
4.群里找一个目标,点头像,右上角投诉。
任意选一个投诉理由,注意,不是真的投诉,只要获取加载的数据包即可。最后一步的时候不用提交,返回工具页面,点击上传流量查看数据包。
选择“按域名”查看数据。 一般举报功能都是请求weixin110这个子域。
选择红框中的POST请求,exposeh5cgi为标识符。
选择“请求”模块,查看请求的数据包。
然后下滑点击查看请求主体。
箭头处的realChatUser就是“被投诉用户”的wxid了。获得wxid后意味着即使在不知道对方微信名的情况下,也能反查到该用户的手机号码。
这也就是我今天要分享的抓包思路,同理,微信小程序也是可以的。我应该不是第一个知道的,但是在真正实战的时候还需要注意一些细节,我等会文章结尾再讲。因为可能有人要反驳我了,微信小程序抓包的思路不是很多吗。确实,你说得对,毫不夸张的说,你懂的思路我都懂,但是问题在于很多思路都容易失效,在这里我列出一些基本思路。
第一种:使用Burpsuite配合模拟器抓包
众所周知,Burpsuite是渗透测试必备的抓包工具,对于微信小程序抓包应该也是得心应手的,可以通过在模拟器配置证书进行抓包。
起初这个思路人人皆知,但是后来微信修改了规则,方法已经失效了,并且前几个月有消息说微信好像禁止在模拟器登录,检测会警告封号处理,消息是否真实仍未证实。当然了,比较专业的同学可以安装类似于“Xposed框架”使得模拟器变得更强大,或者说能够绕过微信检测机制?
第二种:使用Fiddler配合微信PC端抓包
Fiddler也是一个强大的抓包工具,或者说是数据包分析工具,可以调试你电脑中的HTTP流量。
有些Burpsuite不能做的事情,它可以,我个人用得比较少。Fiddler不管是对于微信PC端还是模拟器都适用,不过这个思路好像从去年的11月左右就已经失效,具体没有证实。
第三种:使用Charles配合微信PC端抓包
根据官网的介绍,Charles是一款HTTP代理兼HTTP监视器工具,主要适用于Web浏览器。
Charles俗称“花瓶”,应该说是安全圈里一个“后来居上”的抓包工具吧,平时笔者也用得多,因为这款工具能够抓到某些“特殊”的数据包,比如JavaScript触发的数据包? 我也不知道怎么形容。
图片来源: https://blog.csdn.net/pengxurui
需要补充一下,以上三种思路也可以配合在苹果手机设置“网络代理”,实现用“电脑工具”抓取手机的数据包,具体来说也能实现抓取“微信小程序”或“手机QQ”的一些数据包。这个思路是笔者亲测过的,但是目前是否仍有效就不清楚了。
第四种:使用Httpcanary配合安卓端抓包
除了以上三(四)种思路,应该还有安卓系统使用
HttpCanary
(小黄鸟)
抓取数据包的思路。
小黄鸟算得上是安卓系统最强大的抓包工具了,至少我认为地位如同安卓早期破解圈中的“幸运破̆̈解̆̈器̆̈”,不过人家靠的不是“运气”,而是“实力”。比如能够修改数据包中的数据实现“破解软件的VIP限制”或“无限签到”。
图片来源: https://blog.csdn.net/weixin_53891182
该思路同样也能配合安卓模拟器进行抓包,笔者亲测有效,目前是否依然有效也不清楚。对于能否抓取安卓系统微信小程序的数据没有经过实验。 文章中所提到的安卓系统和安卓模拟器需要区分一下。
其实抓取微信小程序数据包的思路大同小异,微信小程序大多数都是内嵌网站,部分开发者以为有微信这个“保护伞”就万事大吉,实际上保证足够安全还需“自扫门前雪。” 不管是企业还是国内高校,正因为小程序的安全容易被忽视,所以在渗透测试中,小程序往往成为了一个重要的被攻击目标。
02
言归正传
言归正传,补充一些前文提到的细节。用“Stream”抓取微信小程序的数据包时,经过测试,开启抓包之后,
打开部分小程序时会卡在加载页面,这时候关闭抓包,重新打开小程序,等页面加载完成后再开启抓包即可。
下面用“肯德基”微信小程序来实战测试:
这时候藤椒风味劲爆大鸡米花就一览无余了,不对,应该是肯德基的CRM客户系统。
一份神秘代码,帮我破解一下可以吗?
⣀⣆⣰⣒⣒⡀⢀⠔⠠⠤⡦⠤⠄⢴⠤⠤⠤⢴⠄
⢰⣒⣒⣒⣲⠄⠠⡎⠸⠽⠽⠽⠄⠼⡭⠭⠭⡽⠄
⢸⠒⠒⢒⣺⠄⠄⡇⡍⣝⣩⢫⠄⣊⣒⣺⣒⣊⡂
⢠⠤⠴⠤⠤⠄⢐⢔⠐⠒⡖⠒⠄
⣹⢸⢍⢉⢽⠄⢀⢼⠠⠤⡧⠤⠄
⡜⡸⠔⠑⠜⡄⠠⡸⢀⣀⣇⣀⠄
⢰⣒⣒⣒⣲⠄⠠⡦⢴⠄⡖⢲⠄⡖⢲⠒⢲⠒⡆
⢸⣒⣲⣒⣚⠄⠄⡯⢽⠄⣏⣹⠄⡇⡸⠄⢸⣀⡇
⣑⣒⣺⣒⣒⡀⢈⠍⠩⣡⠃⣸⠄⣏⣀⣀⣀⣀⡇
⡄ ⡄⠐⢲⠒⠄⡆⠢⠄⡤⠤⠄⢀⠤⢄
⢱⢰⠁⠈⢹⣉⠉⡏⡍⠄⠗⠒⡄⢸ ⢸
⠇ ⠈⣹⢀⡠⠺⡰⠄⠢⠤⠃⠘.. .⠜
免责声明:如果侵犯了您的权益,请联系站长,我们会及时删除侵权内容,谢谢合作!
本帖子中包含更多资源
您需要
登录
才可以下载或查看,没有账号?
立即注册
x
回复
使用道具
举报
0 个回复
倒序浏览
返回列表
快速回复
高级模式
B
Color
Image
Link
Quote
Code
Smilies
您需要登录后才可以回帖
登录
or
立即注册
本版积分规则
发表回复
回帖并转播
回帖后跳转到最后一页
发新帖
回复
王柳
金牌会员
这个人很懒什么都没写!
楼主热帖
Keytool配置 Tomcat的HTTPS双向认证 ...
【小程序】图解小程序平台架构及其特征 ...
NSIS官方认证插件集成安装包 ...
[网鼎杯 2020 朱雀组]Think Java——wp ...
校园网组网方案的设计
太方便了,钉钉上就可完成代码发布审批 ...
机加工行业MES系统模具行业MES系统CNCl ...
Ansible 学习笔记 - 批量巡检站点 URL ...
腾讯开源的 3 个 GitHub 项目,足够良 ...
Google Earth Engine(GEE)——Kmeans ...
标签云
CIO
存储
服务器
快速回复
返回顶部
返回列表