小程序反編譯的安全測試案例解析

?

自2019年開始，中央網信辦、工業和信息化部、公安部和國家市場監管總局在全國范圍內組織開展App違法違規收集使用個人信息專項治理工作，加大個人信息保護力度?！秱€人信息保護法》增加了對于App個人信息保護的專門性規定。而如今小程序等新應用形態不斷出現，相比App而言，無論開發還是使用門檻更為簡便，小程序的安全繼承了微信APP整體的安全建設，因此無需像傳統的APP測試對客戶端本身進行測試，測試的重點在于服務端，即小程序與后端進行交互過程中存在的安全風險。

小程序解包

以往反編譯小程序源碼都是要從移動端獲取，相較于電腦端來說比較麻煩。因本機為Mac電腦，以下方法適用于Mac端wxapkg解密。使用的工具為mac_wxapkg_decrypt 該工具提供了2種解密的方法， 一種是提取解密用的key， 一種是直接讓小程序自動解密。這里我使用了第二種方法，通過更改_agent.js里小程序的路徑，然后HOOK，自動產生解密后的文件。首先找到Mac小程序地址。

/Users/XXXX/Library/Group?Containers/xxxx.com.tencent.xinWeChat/Library/Caches/xinWeChat/xxxxxxxxxx/WeApp/LocalCache/release/?

當我們Mac端微信訪問小程序后，會按照AppID生成對應的目錄，根據AppID尋找要解包的小程序

?

然后修改_agent.js文件中小程序的路徑以及解密后的文件路徑。

搜索本機小程序的進程

ps?-ef?|grep?Mini

利用frida加載_agent.js腳本進行HOOK，生成解密后的wxapkg

小程序反編譯

獲取了解密后的小程序包，那么下面就開始進行反編譯獲取源代碼。通過github搜索相關小程序反編譯工具，發現幾乎都已被刪除，要么開始收費。最后找到了一款基于wxappUnpacker改進的開源項目，測試發現還可以使用。下載地址：https://gitee.com/ksd/wxappUnpacker 使用方法也很簡單，首先安裝依賴

npm?install?esprima
npm?install?css-tree
npm?install?cssbeautify?
npm?install?vm2
npm?install?uglify-es
npm?install?js-beautify

當檢測到wxapkg為子包時, 添加-s參數指定主包源碼路徑即可自動將子包的wxss,wxml,js解析到主包的對應位置下，完整流程大致如下:

獲取主包和若干子包
解包主包?./bingo.sh?testpkg/master-xxx.wxapkg
解包子包?./bingo.sh?testpkg/sub-1-xxx.wxapkg?-s=../master-xxx

運行后即可成功反編譯小程序。

然后我們就可以利用開發者工具進行還原小程序。文件夾中的 HTML、WXSS 等文件主要是存放了頁面結構、小程序頁面樣式等內容，對于安全測試來說重點分析文件中JS，如果小程序在與后端服務器進行了加密傳輸，可以根據傳輸中的加密參數值進行跟蹤，逐步分析參數是進行如何加密的。

小程序抓包安全測試

對于PC端來說，小程序的抓包是比較簡單的，直接設置系統代理，然后打開burp也設置代理就能抓到https。設置代理抓包后，運行小程序并抓取登錄數據包，發現賬號密碼以及返回信息均被國密SM2加密傳輸。所以我們可以通過提取小程序的源碼信息，獲得小程序在傳輸過程中進行的數據的加密方式，分析來得出整個加密算法。

通過注冊登錄后查看個人信息，發現URL參數為明顯的數字編號，通過遍歷編號發現返回包內容信息發生了變化，猜測該小程序存在越權漏洞，可通過該漏洞獲取個人敏感信息。

獲取小程序國密SM2密鑰

通過反編譯獲取到的SM2的私鑰可對密文進行解密，也可以將泄露的公鑰進行加密用戶名和密碼字典，進行爆破賬戶。

公鑰：04B9C9A6E04E9C91F7BA880429273747D7EF5DDEB0BB2FF6317EB00BEF331A83081A6994B8993F3F5D6EADDDB81872266C87C018FB4162F5A24620207 私鑰：00B9AB0B828FF68872F21A837FC303668428DEA11DCD1B24429D0C99E3D5

最終可通過編寫腳本，利用該漏洞可批量解密獲取明文的個人敏感信息。

import?sys
from?gmssl?import?sm2
from?base64?import?b64encode,?b64decode

#?sm2的公私鑰
SM2_PRIVATE_KEY?=?''
SM2_PUBLIC_KEY?=?''

sm2_crypt?=?sm2.CryptSM2(public_key=SM2_PUBLIC_KEY,?private_key=SM2_PRIVATE_KEY)

#?加密
def?encrypt(info):
????encode_info?=?sm2_crypt.encrypt(info.encode(encoding="utf-8"))
????encode_info?=?b64encode(encode_info).decode()??#?將二進制bytes通過base64編碼
????return?encode_info


#?解密
def?decrypt(info):
????decode_info?=?b64decode(info.encode())??#?通過base64解碼成二進制bytes
????decode_info?=?sm2_crypt.decrypt(decode_info).decode(encoding="utf-8")
????return?decode_info


if?__name__?==?"__main__":
????action?=?sys.argv[1]??#?取命令中的加解密動作
????contact_info?=?sys.argv[2]??#?取命令中需要加解密的內容
????if?action?==?"encrypt":
????????encrypted_contact_info?=?encrypt(contact_info)
????????print(encrypted_contact_info)
????if?action?==?"decrypt":
????????decrypted_contact_info?=?decrypt(contact_info)
????????print(decrypted_contact_info)

總結

通過加密參數為關鍵字進行源代碼全局搜索，從而獲取到該小程序的加密方式，可以嘗試進行越權訪問、SQL注入、賬號密碼的爆破等漏洞的安全測試，也有一些小程序使用云存儲，可能會將一些oss的secret key硬編碼放在小程序源代碼文件中。

編輯：黃飛
?