微信小程序渗透测试
Posted Cai~niao
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了微信小程序渗透测试相关的知识,希望对你有一定的参考价值。
一、工具准备
burpsuite、夜神模拟器(把微信装好)、node.js、wxappUnpacker
二、获取源码
1、配置Burp和模拟器(模拟器需导入ca证书),打开模拟器的WLAN–>高级设置–>输入物理机的ip以及一个没被占用的端口,Burp用于代理该端口,我使用的模拟器安卓版本为5.0。
(长按wifi为高级设置)
3、打开/data/data/com.tencent.mm/MicroMsg/目录,把该目录下所有文件删除,再打开微信,打开任意一个小程序。
4、再次打开/data/data/com.tencent.mm/MicroMsg/目录,会发现一个加密文件名的文件夹,再打开/appbrand/pkg/目录下存放着刚才访问这个小程序的三个数据,其中一个为主包其余两个为分包。
5、选中复制到与电脑的共享文件夹
6、获取源码后,使用wxappUnpacker进行反编译,分包需要使用-s参数。
三、渗透
1、使用微信开发者工具打开源码。
2、发现一个接口只需要openid即可访问,进行查看此接口功能
3、发现此处为用户报修,可获取大量用户openid。
4、使用获取到的openid在另一接口处可用户获取用户详细信息。
5、利用获取到的studentID又可对学生的水卡进行绑定,绑定后可对学生的水卡进行充值、挂失等操作。
四、结束
到此本次渗透就基本结束,通过子域名爆破还发现了该程序的管理后台,但是莫得密码,也没发现其它漏洞,便没有继续进行了。
微信小程序怎么测试,微信小程序测试用例
参考技术A 根据被测试程序的功能点进行测试,就拿跳一跳来说,标题 步骤 结果
测试用例:1.进入跳一跳 点击小程序栏中跳一跳程序 能够成功进入,加载出游戏界面
2.开始游戏 点击三角形按钮 游戏开始运行
大概就是这个样子,模块,界面,二次结果什么的就没写了
以上是关于微信小程序渗透测试的主要内容,如果未能解决你的问题,请参考以下文章