小程序获取-各大平台&关键字搜索
- 微信
- 百度
- 支付宝
- 抖音头条
微信小程序-源码架构解析
主体结构
小程序包含一个描述整体程序的 app 和多个描述各自页面的 page。
一个小程序主体部分(即app)由三个文件组成，必须放在项目的根目录，如下：
| 文件 | 必需 | 作用 |
|---|---|---|
| app.js | 是 | 小程序逻辑 |
| app.json | 是 | 小程序公共配置 |
| app.wxss | 否 | 小程序公共样式表 |
一个小程序页面由四个文件组成:
| 文件 | 作用 |
|---|---|
| xxx.js | 页面逻辑 |
| xxx.json | 页面配置 |
| xxx.wxml | 页面结构 |
| xxx.wxss | 页面样式 |
项目整体目录结构
| 名称 | 类型 | 说明 |
|---|---|---|
| pages | 文件夹 | 页面文件夹 |
| index | 文件夹 | 首页 |
| logs | 文件夹 | 日志 |
| utils | 文件夹 | 工具类文件夹（未注明，通常用于存放工具模块） |
| util | 文件/工具类 | 工具类（mina框架自动生成，也可建立：api） |
| app.js | 文件 | 入口js（类似于Java类中的main方法）、全局js |
| app.json | 文件 | 全局配置文件 |
| app.wxss | 文件 | 全局样式文件 |
| project.config.json | 文件 | 跟你在详情中勾选的配置一样 |
| sitemap.json | 文件 | 用来配置小程序及其页面是否允许被微信索引 |
信息收集-小程序抓包-Proxifier&BurpSuite联动
注：抓包工具的证书要安装到系统的受信任和中间两个地方，Proxifier规则设置里面一定要确定默认规则没有走代理
- 对抓到的IP或域名进行Web安全测试
- 对抓到的IP或域名进行API安全测试
- 对抓到的IP或域名进行端口服务测试
信息收集-小程序逆向-解包反编译&动态调试&架构
对源码架构进行分析
- 更多的资产信息
- 敏感的配置信息
- 未授权访问测试
- 源码中的安全问题
工具项目&参考
https://github.com/r3x5ur/unveilr
https://github.com/Ackites/KillWxapkg
https://github.com/biggerstar/wedecode
https://github.com/eeeeeeeeee-code/e0e1-wx
https://developers.weixin.qq.com/miniprogram/dev/devtools/stable.html
本节知识点 & 思维导图
信息收集-小程序应用-公开信息-知识产权&平台搜索
信息收集-小程序应用-资产信息-抓包&提取&动态调试
