miniprogram-security

miniprogram-security — 小程序专项深度挖掘

与 android-security-audit 的分工：本技能专注 小程序（微信/支付宝/抖音/百度）与微信云开发；Android APK 组件安全见 android-security-audit。小程序与 APP 后台接口常同源，两技能可联动：先从 APP/小程序提取后端域名，再统一测接口。

何时调用（触发条件）

• 目标是微信/支付宝/抖音/百度/QQ 小程序
• 拿到小程序包（.wxapkg / 分包 / 反编译产物），需要还原源码
• 需要提取接口清单、appid/appsecret、云开发配置、加密/签名逻辑
• 发现微信登录链（wx.login code）、支付、openid/用户 ID 可控、未授权接口
• 发现 web-view / rich-text / JSBridge / 分享跳转 等前端渲染点
• 目标是微信云开发（云函数/云数据库/云存储）

快速开始（5 分钟出第一个接口/凭证）

# Step 1: 定位小程序包（PC 微信缓存目录）
# 微信/WeChat Files/Applet/<appid>/ 下 *.wxapkg（含分包）
# 或开发者工具/手机抓包/第三方平台获取

# Step 2: 反编译
# wxappUnpacker / unveilr / CrackMinApp 解包，得到 app.js、app.json、pages/、utils/、cloudfunctions/

# Step 3: 提取敏感信息与接口（高优先级）
grep -rniE "appid|appsecret|secret|access_key|secret_key|token" <解包目录>/
grep -rEoh "https?://[a-zA-Z0-9._/-]+" <解包目录>/ | sort -u          # 后端/业务域名
grep -rn "wx.request|wx.cloud.callFunction|request\(" <解包目录>/ | head -50  # 接口与云函数

# Step 4: 优先验证
# openid 可控 → 替换他人 openid 测越权；登录 code → 重放/替换；支付参数 → 金额篡改

---

一、包获取与反编译

获取途径

• PC 微信：WeChat Files/Applet/<appid>/ 下 .wxapkg 缓存（主包+分包），需先在小程序里打开过
• 微信开发者工具：导入源码调试（拿到项目源码的场景）
• 手机抓包：HTTP(S) 代理 + 小程序包下载接口（配合证书安装）
• 第三方平台：小程序包下载站、GitHub 泄露、历史版本
• 其他平台：支付宝（.axml）、抖音、百度（.swan）结构类似，解包工具对应适配

反编译工具

wxappUnpacker        # 经典解包，还原 app.js/pages 结构
unveilr              # 较新，支持分包/新版格式
CrackMinApp          # 微信小程序一键解包

• 解包产物结构：app.js（全局逻辑）、app.json（页面/权限配置）、pages/*（页面）、utils/*、project.config.json、cloudfunctions/（云函数目录）
• 新版分包需先解主包再按 app.json 的 subpackages 配置逐分包解
• 压缩混淆的 JS：先用 js-beautify/反混淆还原，再搜索关键字

还原度确认：解包后核对 app.json 页面数与线上功能是否对应，确认还原完整再开始审计。

---

二、静态审计重点（代码层面）

app.js / 全局逻辑

• 全局接口封装、请求拦截器（看统一鉴权头怎么带的：token？openid？自定义签名？）
• 登录流程：wx.login() → code → 后端换 session/token 的完整链路
• 全局变量：appid、环境 env、后台域名、加密密钥

敏感信息（重点上报项，联动 recon-js-analysis）

• appid（正常）、appsecret 出现在前端 = 配置错误/泄露（后端才应持有）→ 上报并深挖（可换取 access_token 调接口）
• 云开发 env ID、腾讯云 SecretId/SecretKey、OSS/存储桶密钥、内网/后台域名
• 提取的 URL/IP/域名 → 提醒用户关注：可能是 APP/小程序后台接口，进入资产测绘