?

自2019年開始，中央網(wǎng)信辦、工業(yè)和信息化部、公安部和國(guó)家市場(chǎng)監(jiān)管總局在全國(guó)范圍內(nèi)組織開展App違法違規(guī)收集使用個(gè)人信息專項(xiàng)治理工作，加大個(gè)人信息保護(hù)力度。《個(gè)人信息保護(hù)法》增加了對(duì)于App個(gè)人信息保護(hù)的專門性規(guī)定。而如今小程序等新應(yīng)用形態(tài)不斷出現(xiàn)，相比App而言，無(wú)論開發(fā)還是使用門檻更為簡(jiǎn)便，小程序的安全繼承了微信APP整體的安全建設(shè)，因此無(wú)需像傳統(tǒng)的APP測(cè)試對(duì)客戶端本身進(jìn)行測(cè)試，測(cè)試的重點(diǎn)在于服務(wù)端，即小程序與后端進(jìn)行交互過程中存在的安全風(fēng)險(xiǎn)。

小程序解包

以往反編譯小程序源碼都是要從移動(dòng)端獲取，相較于電腦端來(lái)說比較麻煩。因本機(jī)為Mac電腦，以下方法適用于Mac端wxapkg解密。使用的工具為mac_wxapkg_decrypt 該工具提供了2種解密的方法， 一種是提取解密用的key， 一種是直接讓小程序自動(dòng)解密。這里我使用了第二種方法，通過更改_agent.js里小程序的路徑，然后HOOK，自動(dòng)產(chǎn)生解密后的文件。首先找到Mac小程序地址。

/Users/XXXX/Library/Group?Containers/xxxx.com.tencent.xinWeChat/Library/Caches/xinWeChat/xxxxxxxxxx/WeApp/LocalCache/release/?

當(dāng)我們Mac端微信訪問小程序后，會(huì)按照AppID生成對(duì)應(yīng)的目錄，根據(jù)AppID尋找要解包的小程序

?

然后修改_agent.js文件中小程序的路徑以及解密后的文件路徑。

搜索本機(jī)小程序的進(jìn)程

ps?-ef?|grep?Mini

利用frida加載_agent.js腳本進(jìn)行HOOK，生成解密后的wxapkg

小程序反編譯

獲取了解密后的小程序包，那么下面就開始進(jìn)行反編譯獲取源代碼。通過github搜索相關(guān)小程序反編譯工具，發(fā)現(xiàn)幾乎都已被刪除，要么開始收費(fèi)。最后找到了一款基于wxappUnpacker改進(jìn)的開源項(xiàng)目，測(cè)試發(fā)現(xiàn)還可以使用。下載地址：https://gitee.com/ksd/wxappUnpacker 使用方法也很簡(jiǎn)單，首先安裝依賴

npm?install?esprima
npm?install?css-tree
npm?install?cssbeautify?
npm?install?vm2
npm?install?uglify-es
npm?install?js-beautify

當(dāng)檢測(cè)到wxapkg為子包時(shí), 添加-s參數(shù)指定主包源碼路徑即可自動(dòng)將子包的wxss,wxml,js解析到主包的對(duì)應(yīng)位置下，完整流程大致如下:

獲取主包和若干子包
解包主包?./bingo.sh?testpkg/master-xxx.wxapkg
解包子包?./bingo.sh?testpkg/sub-1-xxx.wxapkg?-s=../master-xxx

運(yùn)行后即可成功反編譯小程序。

然后我們就可以利用開發(fā)者工具進(jìn)行還原小程序。文件夾中的 HTML、WXSS 等文件主要是存放了頁(yè)面結(jié)構(gòu)、小程序頁(yè)面樣式等內(nèi)容，對(duì)于安全測(cè)試來(lái)說重點(diǎn)分析文件中JS，如果小程序在與后端服務(wù)器進(jìn)行了加密傳輸，可以根據(jù)傳輸中的加密參數(shù)值進(jìn)行跟蹤，逐步分析參數(shù)是進(jìn)行如何加密的。

小程序抓包安全測(cè)試

對(duì)于PC端來(lái)說，小程序的抓包是比較簡(jiǎn)單的，直接設(shè)置系統(tǒng)代理，然后打開burp也設(shè)置代理就能抓到https。設(shè)置代理抓包后，運(yùn)行小程序并抓取登錄數(shù)據(jù)包，發(fā)現(xiàn)賬號(hào)密碼以及返回信息均被國(guó)密SM2加密傳輸。所以我們可以通過提取小程序的源碼信息，獲得小程序在傳輸過程中進(jìn)行的數(shù)據(jù)的加密方式，分析來(lái)得出整個(gè)加密算法。

通過注冊(cè)登錄后查看個(gè)人信息，發(fā)現(xiàn)URL參數(shù)為明顯的數(shù)字編號(hào)，通過遍歷編號(hào)發(fā)現(xiàn)返回包內(nèi)容信息發(fā)生了變化，猜測(cè)該小程序存在越權(quán)漏洞，可通過該漏洞獲取個(gè)人敏感信息。

獲取小程序國(guó)密SM2密鑰

通過反編譯獲取到的SM2的私鑰可對(duì)密文進(jìn)行解密，也可以將泄露的公鑰進(jìn)行加密用戶名和密碼字典，進(jìn)行爆破賬戶。

公鑰：04B9C9A6E04E9C91F7BA880429273747D7EF5DDEB0BB2FF6317EB00BEF331A83081A6994B8993F3F5D6EADDDB81872266C87C018FB4162F5A24620207 私鑰：00B9AB0B828FF68872F21A837FC303668428DEA11DCD1B24429D0C99E3D5

最終可通過編寫腳本，利用該漏洞可批量解密獲取明文的個(gè)人敏感信息。

import?sys
from?gmssl?import?sm2
from?base64?import?b64encode,?b64decode

#?sm2的公私鑰
SM2_PRIVATE_KEY?=?''
SM2_PUBLIC_KEY?=?''

sm2_crypt?=?sm2.CryptSM2(public_key=SM2_PUBLIC_KEY,?private_key=SM2_PRIVATE_KEY)

#?加密
def?encrypt(info):
????encode_info?=?sm2_crypt.encrypt(info.encode(encoding="utf-8"))
????encode_info?=?b64encode(encode_info).decode()??#?將二進(jìn)制bytes通過base64編碼
????return?encode_info


#?解密
def?decrypt(info):
????decode_info?=?b64decode(info.encode())??#?通過base64解碼成二進(jìn)制bytes
????decode_info?=?sm2_crypt.decrypt(decode_info).decode(encoding="utf-8")
????return?decode_info


if?__name__?==?"__main__":
????action?=?sys.argv[1]??#?取命令中的加解密動(dòng)作
????contact_info?=?sys.argv[2]??#?取命令中需要加解密的內(nèi)容
????if?action?==?"encrypt":
????????encrypted_contact_info?=?encrypt(contact_info)
????????print(encrypted_contact_info)
????if?action?==?"decrypt":
????????decrypted_contact_info?=?decrypt(contact_info)
????????print(decrypted_contact_info)

總結(jié)

通過加密參數(shù)為關(guān)鍵字進(jìn)行源代碼全局搜索，從而獲取到該小程序的加密方式，可以嘗試進(jìn)行越權(quán)訪問、SQL注入、賬號(hào)密碼的爆破等漏洞的安全測(cè)試，也有一些小程序使用云存儲(chǔ)，可能會(huì)將一些oss的secret key硬編碼放在小程序源代碼文件中。

編輯：黃飛
?