环球度假区微信小程序逆向分析

01准备工具

手机一部,安装过微信抓包工具,这里用的花瓶微信者工具小程序解包工具 等

02准备工作

抓包工具可以抓到小程序的包,这里不再分享了,网上搜索即可抓到的小程序包之后,逆向用测试账,在微信者工具中打开解包后的代码让编译无错

03开始逆向

先打开抓包工具,在手机上点点页面,抓到接口。

我们抓到了 2//接口,返回的是对象,数据是门票的信息列表

观察,没有加密内容

观察,发现是有 对象,里面有加密字段,我们需要处理的就是这个。

用过的同学就没必要了,很熟悉的加密方式,它告诉你了加密方式,加密字段,唯一要处理的就是加密的了。

我们在微信者工具中全局搜索 , 仔细寻找可能加密的地方,打上断点(不是源代码)。

重新编译代码,让接口进入断点。

观察代码,我们需要处理值,,。

我们在花瓶抓包工具中,搜索,找到内容

紧接着发现这个和 中的 不一致,就说明是加密的,我们需要对和进行解密

我们切换到微信者工具中,搜索接口'/', 找到开始的地方

这里偷个懒,不扣取它的解密方法,直接拿返回值填上。然后就得到了解密后的和.

接着值,

= ["-: ".(), , "/", "/", , ].("

")

它是有一个(时间字符串),(接口方式),两个固定值,(接口的参数的某种加密),(接口和字符串的拼接,或者说是请求地址去掉)用换行符拼接在一起组成了一个新的字符串

然后也就是的生成方法。

和上面有定义

我们用的逆向方式来扣去这一部分的加密代码

05逆向

怎么扣,这里也不说了。问了也顶多是粘贴。

完成之后,准备编写代码。大概的过程就是原来的代码,拿过来修改一下,保证运行不报错。

然后代码一下

获取到正确的结果

然而在这个过程中,会碰到很多问题,比如怎么解小程序的包,怎么运行起来,怎么抓接口,怎么找加密方法,怎么解密等等。

处理方式就只有一个办法,就是一个一个问题解决。解决不了,就放弃,交给专业的人来解决!

© 版权声明
THE END
分享