【SRC】小程序抓包巨详细配置,一个Burp就够了,但是可以更优雅!

小程序抓包配置

0x00 前言

其实在PC端抓微信小程序的包,只需要一个BurpSuite就足够了,但是为了避免抓一些没用的包,减少对小程序抓包测试过程中的干扰,我们可以配合使用一个工具proxifier,当然如果你只是想体验一下抓包小程序的过程,不下这个工具也行,本篇文章会介绍直接便捷的使用Burp抓包的过程,第二部分会介绍配合proxifier的使用,也会给出proxifier的安装破解教程

!!!!!个人超级大避坑点:一定要把burp的证书导入到电脑中!!!

0x01 直接使用BurpSuite抓包

首先第一步,一定一定要把burpsuite的证书装在电脑里面,之前在浏览器抓包只导入到浏览器里面了,但是对于微信这种程序,我们需要把证书装在电脑本机

首先开启burp后,配置一个端口

image-20240721103235045

然后去下载证书

方法就是在浏览器访问http://127.0.0.1:7777

image-20240721104909174

下载完直接导入就行

导入证书的流程

image-20240721103148732

可能注意要把证书的后缀der手动改成cer

登微信 手动设置一下代理

image-20240721105051881

但是这样好像没办法抓住,推测原因可能是这个只是让微信走了这个代理,但是小程序是另一个应用程序,所以没法抓

所以开一下全局本地代理就好了

image-20240721103532763

OK 到此成功抓到

image-20240721105435401

0x02 配合Proxifier

上面存在一个明显的弊端,就是本地的所有程序都会走7777端口,会导致抓到一些没用的包干扰自己,所以装一个Proxifier起到优化作用,其作用可以指定一些程序走指定端口,其他走默认

下载地址:就去官网就行,虽然是30天免费使用,但是可以破解 https://www.proxifier.com/ 直接下那个exe即可

注册机:https://github.com/y9nhjy/Proxifier-Keygen?tab=readme-ov-file 运行一下python文件 用第一个就行

打开一个小程序 确定一下程序位置

image-20240721110217600

打开文件位置即可

配置1

image-20240721110325640

配置2

image-20240721110520753

image-20240721110553862

最后勾选一下就可以启动了

image-20240721110642094

注意这种情况下就不用设置本地代理咯

image-20240721110709576

成功抓包

image-20240721110948231


OK兄弟们 上面就是小程序抓包的详细配置过程啦,希望对大家有帮助,祝师傅们在挖洞的路上越来越牛逼

### 使用 Burp Suite 抓取和分析微信小程序网络请求 #### 设置 Burp Suite 代理服务器 为了使 Burp Suite 能拦截来自微信小程序的流量,在 Burp Suite 中需正确配置代理设置。进入 `Proxy` -> `Options` 页面,确认监听接口已启用并设定了合适的本地 IP 地址以及未被占用的端口号[^4]。 #### 安装 CA 证书到移动设备或 PC 上 对于 HTTPS 请求而言,必须先让客户端信任由 Burp Suite 签发的中间人(MITM) SSL/TLS 证书。按照官方文档指示导出此证书文件,并将其安装至目标操作系统中;尤其要注意的是,每次Burp 实例时都需要重新签发新的证书来匹配当前会话环境[^3]。 #### 将 Proxifier 结合使用以覆盖多场景下的流量转发需求 考虑到某些情况下直接修改系统级别的 HTTP(S) Proxy 可能不灵活或者存在局限性,借助第三方软件如 Proxifier 来实现精细控制的应用层路由策略不失为一种有效手段。通过定义特定规则集指定哪些应用程序发出的数据流应该经过哪一个外部SOCKS 或者HTTP形式存在的网关来进行下一步处理——在这里即指代我们的BurpSuite实例[^1]。 #### 修改 Windows Internet Options 的代理设置(仅限PC) 如果是在桌面平台上开展测试工作,则可以通过调整浏览器或者其他依赖于 WinINet API 进行联网通信程序所遵循的一般性互联网选项达到目的。具体方法是按下组合快捷键 **Win+R**, 输入指令 `inetcpl.cpl`, 接着前往 “连接(Connection)” 标签下找到相应条目完成设定改[^5]。 #### 开始监控与解析实际发生的交互行为 当上述准备工作完成后就可以启动待测的小程序了。此时所有符合条件的进出站报文都会自动重定向给处于侦听状态中的安全审计平台做进一步审查。利用内置的各种辅助功能模块比如 Spider、Scanner 和 Intruder, 用户不仅可以直观查看原始载荷结构还能执行自动化漏洞扫描任务或是发起自定义攻击尝试以便好地理解潜在风险点所在之处。 ```bash # 示例:验证代理是否生效的方法之一 curl -v https://example.com --proxy http://localhost:8080/ ```
评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值