微信⼩程序，实⽤；渗透微信⼩程序，好玩。

笔者呢也希望这篇拙作在给各位可敬可爱的读者朋友们带来愉悦的同时能让⼤家有⼀些有益的收获。当然笔者是⼀位后学，若有错误或者思考不全⾯之处还望各 位前辈们多多包涵以及指教，先谢谢各位了。这是笔者第⼀次⾃认为⽐较全⾯的站在渗透测试者、攻击者、⼀个“⼤坏蛋”的⻆度上从多维度⼊⼿着笔有关微信⼩程序的渗透专题⽂章。

作者写此⽂的初⼼是想把⾃⼰有限却实⽤的测试经验分享给您，让您能通过最轻松的⽅式让渗透微信⼩程序的成果最⼤化，敢请占⽤各位同仁的⼀些宝贵时间浏览在下的⽂章。

“寻魔篇”是这⼀系列的开篇⽂章，将会带领⼤家通过微信⼩程序⾼效的进⾏企业资产的收集⼯作，⾛⼊微信⼩程序渗透的⼤⻔。

在⽇常⽣活中，我们可以使⽤微信⾃带的⼩程序搜索功能轻松的找到我们想要的⼩程序。在搜索结果中，微信会依次判断⼩程序的 “名称”、“简介”、“开发者”中是否含有⽤户所搜索的关键字，并按照匹配度 返回相关的⼩程序。下图为⽤户搜索含有“微信”关键字的⼩程序时客户端返回的结果：

对于普通⽤户来说，这个搜索功能完全能满⾜⽇常所需。但在渗透测试⼯作中，通过⼀个⼀个搜索的⽅ 式来寻找⽬标⼩程序，显然效率太低了，并且⽆法搜集全所有的相关⼩程序。需求便因此产⽣了，我们需要⼀种⽅便、⾼效的获取⼩程序搜索结果的⽅法。

能想到的第⼀种⽅案便是尝试修改微信搜索的请求数据包，让他⼀次返回⼤量的搜索内容或多次返回⾜量内容。⼼动了就要⾏动，我们来到⼩程序搜索界⾯，搜索内容之后抓包，下图为抓取到的数据包（已简化，移除其他⾮关键参数）：

可以看到这是⼀个向“https://mp.weixin.qq.com/wxa-cgi/innersearch/subsearch” POST数据的请求 包，POST的内容中含有“query”、“cookie”、“subsys_type”、“offset_buf”这四个参数。“query”内容为⽤户搜索的内容，可以为任意值；“cookie”参数是当前微信⽤户的校验信息，具有⼀定的有效期，但能保持在很⻓⼀段时间内不会过期；“subsys_type”则为⼀个固定值，恒等于“1”；“offset_buf”参数较为关键，控制具体搜索多少个⼩程序、返回多少⼩程序信息。我来带⼤家分析⼀下“offset_buf”参数为什么我 认为⽐较关键：参数内容是⼀串JSON数据，我们可以把他拆分成“server”、“index”、“client”三组来分 析。第⼀组“server_offset”表示服务器从第⼏个⼩程序中开始搜索，我们将参数保持不变为“0”即可；“server_limit”表示服务器最多查询多少个⼩程序，在普通⽤户的搜索中恒为“120”，这也就解释了为什么我们在搜索⼀些⼩程序关键字时总是搜索不全，并不是没有更多的相关⼩程序了，⽽是服务器不会继续搜索了。第⼆组“index_step”表示每⼀次查询多少个值，这个值肯定是越⼤越好，以便于我们能⼀次查完；“index_offset”可以理解为⽤户⽬前已经查询了多少个⼩程序，我们将他设置为恒为“0”即可。第三组“client_offset”表示微信客户端上已经显示了多少个微信⼩程序，我们⽆需去理会，也直接设置为恒为“0”即可，“client_offset”则是每次查询返回多少个⼩程序结果，这⾥我们设置为实际想查询的数量。 

⾄此，微信⼩程序搜索的请求包分析完毕，我们来研究下他以JSON格式返回的查询结果数据：

在返回数据的“items”字段中可以看到每个⼩程序的返回信息，其中有：“名称”、“简介”、“APP编 号”、“程序LOGO地址”等其他字段。“nickname”(⼩程序名称)、“appid”（⼩程序唯⼀对应的id号）这两个参数的内容⽐较有价值，在整理搜索结果数据时可以只保留这两个数据。 

分析到此我们便可构造参数来编写⾃定义微信⼩程序搜索的脚本，其Python程序源码如下：

#!/usr/bin/env python # -*- encoding: utf-8 -*- import requests,json,sys def Get_Apps(query,number,cookie): headers={"User-Agent": "Mozilla/5.0 (iPhone; CPU iPhone OS 13_3_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148 MicroMessenger/7.0.11(0x17000b21) NetType/WIFI Language/fr"} url = "https://mp.weixin.qq.com/wxa-cgi/innersearch/subsearch" params = "query=" + query + "&cookie=" + cookie + '&subsys_type=1&offset_buf= {"page_param":[{"subsys_type":1,"server_offset":0,"server_limit":' + str(int(number)+30) + ',"index_step":' + number + ',"index_offset":0}],"client_offset":0,"client_limit":' + number + '}' response = requests.post(url=url, params=params, headers=headers).text Apps_Json = json.loads(response) App_Items = Apps_Json['respBody']['items'] for App_Item in App_Items: App_Item_Json = json.loads(json.dumps(App_Item)) #重新加载嵌套内容中的json数 据 App_Id = App_Item_Json['appid'] App_Name = App_Item_Json['nickName'] App_Id_List.append(App_Id) App_Name_List.append(App_Name) if __name__ == '__main__': reload(sys) sys.setdefaultencoding('utf-8') #解决编码问题 query = raw_input("请输⼊要搜的微信⼩程序名称: ") number = raw_input("请指定要返回的⼩程序的数量: ") cookie = raw_input("请输⼊你获取到的Cookie信息: ") App_Id_List = [] App_Name_List = [] try:Get_Apps(query,number,cookie) print "返回的⼩程序名: " + ",".join(App_Name_List) print "返回的⼩程序ID: " + ",".join(App_Id_List) except: print "信息获取失败，请检查！"

程序运⾏效果如下，批量搜索微信⼩程序就是这么轻松：

在不打开微信⼩程序的情况下，我们还能够通过微信⾃带接⼝获取哪些有⽤的信息？在每⼀个⼩程序展 示⻚内都有“更多资料”这个功能，其中含有“开发者”（个⼈开发者只显示“个⼈”⼆字）、“服务及数据⽹址”等实⽤信息如下图：

上图中“服务及数据由以下⽹址提供”⼀栏特别引⼈注⽬，这些⽹址接⼝数据是从哪⾥来的呢？这便不得 不提到微信⼩程序的⼀个安全机制——微信⼩程序服务器域名⽩名单机制，官⽅开发⽂档介绍如下：每个微信⼩程序需要事先设置通讯域名，⼩程序只可以跟指定的域名进⾏⽹络通信。包括普通HTTPS请求（wx.request）、上传⽂件（wx.uploadFile）、下载⽂件（wx.downloadFile) 和 WebSocket 通信（wx.connectSocket）域名只⽀持 https 和 wss 协议；域名不能使⽤ IP 地址或 localhost；可以配置端⼝，但不能向同域名不通端⼝服务器访问；如果不配置端⼝，则不能带端⼝访问对应域；出于安全考虑， api.weixin.qq.com 不能被配置为服务器域名......

只要是涉及到微信⼩程序GET、POST的数据请求的域名都必须配置在⼩程序后台的“服务器域名 - request合法域名”中，⽽这⼀栏的数据值正是⼤家前⾯所看的“更多资料”中“服务及数据由以下⽹址提 供”⼀栏的数据。通过微信这⼀机制，我们便可以⾮常快速的收集⼩程序域名接⼝资产。和第⼀个接⼝⼀样，想要⽅便、⾼效的获取数据，还是得分析它的请求数据包。我们在点击“更多资 料”的同时开始抓包，下图为抓取到的数据包（已简化，移除其他⾮关键参数）：

这是⼀个GET类型的数据包，查询接⼝为“https://mp.weixin.qq.com/mp/waverifyinfo” 。其中 有“action”、“appid”、“wx_header”三个数据，在请求头中还含有“X-WECHAT-KEY”、“X-WECHATUIN”两个微信⾃定义的请求头。“action”为请求类型，这边使⽤默认“get”值；“wx_header”为是否启⽤ 微信⾃定义头，也使⽤默认参数“1”启⽤即可；“appid”为对应项查询的微信⼩程序ID值；“X-WECHATUIN”为每个客户端固定的身份值；“X-WECHAT-KEY”是微信⽤于验证请求合法性时所⽤的校验值，每次 访问会重新⽣成新的校验值，但旧校验值并不会⽴刻失效，任然拥有3⼩时左右的有效期。调⽤此接⼝之后，会以HTML的格式返回“更多资料”信息⻚⾯，我们可以看到“请求域名⽩名单”的信息都 已经在“request_domain_list”这个List数组中了：

那么接下来我们便要开始写微信⼩程序⽹络接⼝的批量提取脚本，但这边有⼀个⼩细节需要注意，此接⼝的访问频率有⼀定的限制，每访问⼀次需要将程序“休眠”数秒再进⾏下⼀次访问，若触发其访问频率 限制则会提示“访问频繁，请稍后再试”，并会对你当前身份封锁15分钟左右。最后完成的Python源码如下：

#!/usr/bin/env python # -*- encoding: utf-8 -*- import requests,time def Get_Domain(X_APP_ID,X_WECHAT_KEY,X_WECHAT_UIN): headers={ "User-Agent": "Mozilla/5.0 (iPhone; CPU iPhone OS 13_3_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148 MicroMessenger/7.0.11(0x17000b21) NetType/WIFI Language/fr", "X-WECHAT-KEY": X_WECHAT_KEY, "X-WECHAT-UIN": X_WECHAT_UIN #微信两个校验值 }url = "https://mp.weixin.qq.com/mp/waverifyinfo" params = "action=get&wx_header=1&appid=" + X_APP_ID response = requests.get(url=url, params=params, headers=headers).text Response_domain_list = Get_MiddleStr(response,"request_domain_list","request_domain_list.splice") Response_domain_list = Get_MiddleStr(Response_domain_list,"= ",";") exec("Domain_list.extend(" + Response_domain_list + ")") #添加list数组 time.sleep(8) #防⽌访问频繁，⾃⼰调节 def Get_MiddleStr(content,startStr,endStr): #获取中间字符串的⼀个通⽤函数 startIndex = content.index(startStr) if startIndex>=0: startIndex += len(startStr) endIndex = content.index(endStr)

return content[startIndex:endIndex] if __name__ == '__main__': X_APP_IDS = raw_input("请输⼊⼩程序ID(逗号分隔): ") X_WECHAT_UIN = raw_input("请输⼊⾃⼰的X-WECHAT-UIN: ") X_WECHAT_KEY = raw_input("请输⼊⾃⼰的X-WECHAT-KEY: ") X_APPID_LIST = X_APP_IDS.split(",") Domain_list = [] for X_APP_ID in X_APPID_LIST: try:Get_Domain(X_APP_ID,X_WECHAT_KEY,X_WECHAT_UIN) except: print X_APP_ID + "的信息获取失败，请检查！" Domain_list = list(set(Domain_list)) #list数组去重 Domain_list = filter(None,Domain_list) #list数组去空 print "收集到的域名: " + str(Domain_list)

简历投递至 [email protected]

设计师（实习生）

————————

简历投递至 [email protected]

简历投递至 [email protected]

专注渗透测试技术

全球最新网络攻击技术

END