1. 微信小程序抓包基础与环境搭建微信小程序的网络请求抓包是开发调试和安全测试中的重要环节。不同于传统网页应用微信小程序的网络通信受到微信客户端的安全限制常规抓包工具往往无法直接捕获其流量。这里我分享几种经过实战验证的可行方案。首先需要明确的是微信从7.0版本开始加强了安全策略主要表现在只信任系统预置的CA证书对非官方代理工具进行检测小程序进程(WeChatAppEx)独立于主进程1.1 PC端抓包方案对于Windows平台的微信客户端目前最稳定的抓包方案是使用ProxifierBurpSuite组合。具体操作步骤如下安装Proxifier并配置代理规则# 新建代理服务器配置 名称BurpProxy 地址127.0.0.1 端口8080 协议HTTPS # 添加规则 应用WeChatAppEx.exe 动作BurpProxyBurpSuite配置监听端口监听地址127.0.0.1 端口8080 勾选支持不可见代理证书安装是关键步骤导出Burp的CA证书为DER格式双击安装到受信任的根证书颁发机构在微信设置→通用→代理中关闭自动检测实测这个方案可以稳定捕获90%以上的小程序请求但对于使用了证书绑定的接口仍可能失效。1.2 安卓真机抓包方案对于需要真机测试的场景推荐使用HttpCanary工具。需要注意以下几点手机需要root权限将CA证书安装到系统证书目录adb push burp.cer /system/etc/security/cacerts/ chmod 644 /system/etc/security/cacerts/burp.cer在HttpCanary中设置目标应用选择微信开启SSL解密功能过滤域名包含weixin的请求这个方案的优点是能获取完整的请求链路包括小程序启动时的预加载请求。我在实际项目中曾用这个方法发现过小程序初始化时的敏感信息泄露问题。2. 突破抓包限制的高级技巧当基础抓包方法失效时我们需要更深入的技术手段。以下是几种经过验证的有效方案。2.1 证书锁定绕过遇到证书绑定SSL Pinning时可以尝试以下方法使用Frida脚本注入setTimeout(function(){ Java.perform(function(){ var Certificate Java.use(java.security.cert.Certificate); var X509Certificate Java.use(java.security.cert.X509Certificate); // 绕过证书验证逻辑 }); },0);对于非标准实现可能需要反编译小程序后修改校验逻辑# 使用apktool解包 apktool d base.apk # 搜索证书校验相关smali代码 grep -r verify smali/2.2 低版本模拟器方案夜神模拟器Android 5.1内核配合以下配置可以绕过大部分限制修改模拟器build.propro.build.version.sdk22 ro.product.modelMI 6安装Xposed框架并启用以下模块JustTrustMeSSLUnpinningTrustMeAlready这个方案在我最近的一个电商小程序测试项目中非常有效成功捕获了支付接口的明文请求。3. 小程序安全测试实战抓包只是第一步更重要的是对捕获的数据进行安全分析。以下是几个关键测试点。3.1 接口未授权访问测试通过修改请求参数测试越权漏洞GET /api/user/info HTTP/1.1 Host: mini.app.com Cookie: sessionuser1_session尝试将user1_session替换为其他用户的session值检查是否返回未授权数据。3.2 敏感信息泄露检测重点关注以下响应字段{ code: 200, data: { mobile: 138****1234, id_card: 110***********1234 } }应该检查是否返回了完整的敏感信息以及是否有必要的脱敏处理。3.3 业务逻辑漏洞挖掘以优惠券领取为例测试重放攻击# 使用Burp的Intruder模块重放请求 for i in {1..100}; do curl -X POST https://mini.app.com/coupon/get -d user_id123 done我曾用这个方法在某外卖小程序中发现无限领取大额优惠券的漏洞。4. 小程序反编译与代码审计当抓包无法满足测试需求时反编译可以提供更深入的分析视角。4.1 获取小程序包安卓设备上小程序包存储路径/data/data/com.tencent.mm/MicroMsg/{user_hash}/appbrand/pkg/获取最新修改的.wxapkg文件find . -name *.wxapkg -mtime -1 -exec ls -lh {} \;4.2 反编译工具链配置推荐使用wxappUnpacker工具链# 安装依赖 npm install esprima css-tree cssbeautify vm2 uglify-es js-beautify # 反编译主包 node wuWxapkg.js _123456789.wxapkg4.3 关键代码审计点反编译后应重点检查网络请求模块查看是否有硬编码密钥本地存储操作检查敏感数据存储方式加密解密函数分析加密算法强度权限校验逻辑寻找越权漏洞在某金融小程序审计中我曾发现AES密钥硬编码在js中的高风险问题。5. 合规测试注意事项在进行安全测试时必须注意法律边界必须获得书面授权不得留存测试数据避开业务高峰时段发现漏洞后立即停止测试测试完成后清理测试账号建议在测试前准备好以下材料授权测试通知书测试范围确认书保密协议记得去年有个同行因为未授权测试某政务小程序结果被追究法律责任这个教训值得我们警惕。