?

自2019年開始，中央網(wǎng)信辦、工業(yè)和信息化部、公安部和國家市場監(jiān)管總局在全國范圍內(nèi)組織開展App違法違規(guī)收集使用個人信息專項治理工作，加大個人信息保護力度?！秱€人信息保護法》增加了對于App個人信息保護的專門性規(guī)定。而如今小程序等新應(yīng)用形態(tài)不斷出現(xiàn)，相比App而言，無論開發(fā)還是使用門檻更為簡便，小程序的安全繼承了微信APP整體的安全建設(shè)，因此無需像傳統(tǒng)的APP測試對客戶端本身進行測試，測試的重點在于服務(wù)端，即小程序與后端進行交互過程中存在的安全風(fēng)險。

小程序解包

以往反編譯小程序源碼都是要從移動端獲取，相較于電腦端來說比較麻煩。因本機為Mac電腦，以下方法適用于Mac端wxapkg解密。使用的工具為mac_wxapkg_decrypt 該工具提供了2種解密的方法， 一種是提取解密用的key， 一種是直接讓小程序自動解密。這里我使用了第二種方法，通過更改_agent.js里小程序的路徑，然后HOOK，自動產(chǎn)生解密后的文件。首先找到Mac小程序地址。

/Users/XXXX/Library/Group?Containers/xxxx.com.tencent.xinWeChat/Library/Caches/xinWeChat/xxxxxxxxxx/WeApp/LocalCache/release/?

當(dāng)我們Mac端微信訪問小程序后，會按照AppID生成對應(yīng)的目錄，根據(jù)AppID尋找要解包的小程序

?

然后修改_agent.js文件中小程序的路徑以及解密后的文件路徑。

搜索本機小程序的進程

ps?-ef?|grep?Mini

利用frida加載_agent.js腳本進行HOOK，生成解密后的wxapkg

小程序反編譯

獲取了解密后的小程序包，那么下面就開始進行反編譯獲取源代碼。通過github搜索相關(guān)小程序反編譯工具，發(fā)現(xiàn)幾乎都已被刪除，要么開始收費。最后找到了一款基于wxappUnpacker改進的開源項目，測試發(fā)現(xiàn)還可以使用。下載地址：https://gitee.com/ksd/wxappUnpacker 使用方法也很簡單，首先安裝依賴

npm?install?esprima
npm?install?css-tree
npm?install?cssbeautify?
npm?install?vm2
npm?install?uglify-es
npm?install?js-beautify

當(dāng)檢測到wxapkg為子包時, 添加-s參數(shù)指定主包源碼路徑即可自動將子包的wxss,wxml,js解析到主包的對應(yīng)位置下，完整流程大致如下:

獲取主包和若干子包
解包主包?./bingo.sh?testpkg/master-xxx.wxapkg
解包子包?./bingo.sh?testpkg/sub-1-xxx.wxapkg?-s=../master-xxx

運行后即可成功反編譯小程序。

然后我們就可以利用開發(fā)者工具進行還原小程序。文件夾中的 HTML、WXSS 等文件主要是存放了頁面結(jié)構(gòu)、小程序頁面樣式等內(nèi)容，對于安全測試來說重點分析文件中JS，如果小程序在與后端服務(wù)器進行了加密傳輸，可以根據(jù)傳輸中的加密參數(shù)值進行跟蹤，逐步分析參數(shù)是進行如何加密的。

小程序抓包安全測試

對于PC端來說，小程序的抓包是比較簡單的，直接設(shè)置系統(tǒng)代理，然后打開burp也設(shè)置代理就能抓到https。設(shè)置代理抓包后，運行小程序并抓取登錄數(shù)據(jù)包，發(fā)現(xiàn)賬號密碼以及返回信息均被國密SM2加密傳輸。所以我們可以通過提取小程序的源碼信息，獲得小程序在傳輸過程中進行的數(shù)據(jù)的加密方式，分析來得出整個加密算法。

通過注冊登錄后查看個人信息，發(fā)現(xiàn)URL參數(shù)為明顯的數(shù)字編號，通過遍歷編號發(fā)現(xiàn)返回包內(nèi)容信息發(fā)生了變化，猜測該小程序存在越權(quán)漏洞，可通過該漏洞獲取個人敏感信息。

獲取小程序國密SM2密鑰

通過反編譯獲取到的SM2的私鑰可對密文進行解密，也可以將泄露的公鑰進行加密用戶名和密碼字典，進行爆破賬戶。

公鑰：04B9C9A6E04E9C91F7BA880429273747D7EF5DDEB0BB2FF6317EB00BEF331A83081A6994B8993F3F5D6EADDDB81872266C87C018FB4162F5A24620207 私鑰：00B9AB0B828FF68872F21A837FC303668428DEA11DCD1B24429D0C99E3D5

最終可通過編寫腳本，利用該漏洞可批量解密獲取明文的個人敏感信息。

import?sys
from?gmssl?import?sm2
from?base64?import?b64encode,?b64decode

#?sm2的公私鑰
SM2_PRIVATE_KEY?=?''
SM2_PUBLIC_KEY?=?''

sm2_crypt?=?sm2.CryptSM2(public_key=SM2_PUBLIC_KEY,?private_key=SM2_PRIVATE_KEY)

#?加密
def?encrypt(info):
????encode_info?=?sm2_crypt.encrypt(info.encode(encoding="utf-8"))
????encode_info?=?b64encode(encode_info).decode()??#?將二進制bytes通過base64編碼
????return?encode_info


#?解密
def?decrypt(info):
????decode_info?=?b64decode(info.encode())??#?通過base64解碼成二進制bytes
????decode_info?=?sm2_crypt.decrypt(decode_info).decode(encoding="utf-8")
????return?decode_info


if?__name__?==?"__main__":
????action?=?sys.argv[1]??#?取命令中的加解密動作
????contact_info?=?sys.argv[2]??#?取命令中需要加解密的內(nèi)容
????if?action?==?"encrypt":
????????encrypted_contact_info?=?encrypt(contact_info)
????????print(encrypted_contact_info)
????if?action?==?"decrypt":
????????decrypted_contact_info?=?decrypt(contact_info)
????????print(decrypted_contact_info)

總結(jié)

通過加密參數(shù)為關(guān)鍵字進行源代碼全局搜索，從而獲取到該小程序的加密方式，可以嘗試進行越權(quán)訪問、SQL注入、賬號密碼的爆破等漏洞的安全測試，也有一些小程序使用云存儲，可能會將一些oss的secret key硬編碼放在小程序源代碼文件中。

編輯：黃飛
?