攻防演练前期信息搜集：聚焦影子小程序

一、声明部分

本文内容仅基于互联网公开可查询信息整理汇总，创作过程未对任何网络设备、服务器及系统开展端口探测、漏洞扫描、入侵检测等违规探测行为，不涉及私自侵入、非法获取非公开数据等操作。所有内容仅供学习交流参考，不具备实际实操指导效力，请勿用于违规用途，相关法律责任由使用者自行承担。
二、影子小程序简介

影子小程序，指企业主体名下已注册、可正常访问，但无法通过微信搜索直接找到的小程序。它们在微信生态里 隐形，仅靠特定二维码、分享链接或内部渠道才能打开，因此常游离在常规安全视野之外，成为攻防演练与外部测绘中重点关注的高价值目标。
三、工具清单

• 
  

#只使用反编译功能微信小程序反编译工具：https://github.com/eeeeeeeeee-code/e0e1-wx

微信小程序常规收集参考之前写的文章渗透测试-信息收集实战技巧2-小程序收集
四、环境配置

操作系统：win10、win11python环境：3.10+、3.11+、3.12+

下载小程序反编译工具

安装所需模块

启动工具

五、案例演示

点击反编译源代码.关闭，将该服务变为开启状态

随便开启一个小程序，可见小程序监控区域已经显示

点击标红部分，然后找到反编译文件夹，已成功完成反编译，发现如下信息

其余相关信息可自行查阅，本文仅用到“微信标识”，也就是日常所说的AppID。凭借该标识便能直达对应小程序，这也是摸排小程序资产的常用方式。
支持导出功能，这里导出为txt格式

通过听风安全小程序跳转系统演示，输入Appid，进行跳转

本节仅演示小程序资产发掘技巧，所得对象未必属于影子小程序范畴。可反编译公开小程序提取 AppID，依托该标识跳转检索，进而挖掘包含影子小程序在内的相关资产。

热心网友7

感谢分享，这篇文章对影子小程序的定位和挖掘方法讲解得很清楚。特别是利用反编译工具提取AppID再通过跳转系统去发现隐藏资产这条思路，确实比单纯扫二维码要高效得多，对于攻防演练前期的资产梳理很有参考价值。