微信小程序一次一密流量解密技术详解

一、背景与原理

1.1 当前加密趋势

现代企业越来越多地对互联网公开服务的数据报文采用流量加密传输方式，主要出于以下考虑：

• 防止中间人攻击
• 保护敏感数据
• 满足合规要求

1.2 常见加密方案

1. 固定密钥对称加密：

   • 使用固定密钥进行加密（如AES）
   • 缺点：密钥一旦泄露，所有通信都可被解密

2. 一次一密方案：

   • 每次通信生成随机数作为对称加密密钥
   • 使用非对称加密（如RSA）加密该随机数
   • 将加密后的随机数和加密报文一起发送
   • 优点：即使密钥泄露也只影响单次通信

1.3 不同平台的破解方法

1. Android端：

   • 使用Frida Hook随机数函数固定随机数

2. Web端：

   • 利用BurpSuite拦截替换网站源码固定随机数
   • 依赖浏览器不验证下载网站完整性的特性

3. 微信小程序：

   • 难以Hook V8引擎
   • 微信小程序包加载机制特殊，直接修改无效
   • 需要专门的技术方案

二、准备工作

2.1 所需工具

1. BurpSuite：

   • 专业渗透测试工具
   • 用于拦截和分析HTTPS流量

2. Proxifier：

   • 强制指定应用程序通过代理服务器通信
   • 版本要求：Windows平台

2.2 环境配置

1. BurpSuite配置：

   • 安装BurpSuite证书到客户端
   • 配置监听端口（通常为8080）

2. Proxifier配置：

   • 添加ProxyServer指向BurpSuite监听端口
   • 配置Proxification Rules使微信小程序EXE走代理

三、具体操作步骤

3.1 抓包设置

1. 启动BurpSuite：

   • 开启拦截功能（Intercept on）
   • 确保代理监听正常

2. 配置Proxifier：

   1. 打开Proxifier
   2. 进入Profile -> Proxy Servers
   3. 添加新代理：地址127.0.0.1，端口与BurpSuite一致
   4. 进入Profile -> Proxification Rules
   5. 添加新规则，选择微信小程序执行文件(如wechatdevtools.exe)
   6. 设置动作为使用配置的代理
   

3.2 流量拦截

1. 启动微信开发者工具或微信客户端
2. 运行目标小程序
3. 在BurpSuite中观察拦截到的请求

3.3 关键点分析

1. 识别加密参数：

   • 查找请求中类似"encryptedKey"的字段（非对称加密的随机数）
   • 查找"encryptedData"等字段（对称加密的报文）

2. 定位加密逻辑：

   • 通过多次请求比对，确认随机数生成位置
   • 分析请求参数变化规律

四、解密技术实现

4.1 逆向小程序包

1. 获取小程序.wxapkg包
2. 使用解包工具提取源代码
3. 分析加密相关JavaScript代码

4.2 关键函数Hook

1. 定位加密函数：

   • 搜索CryptoJS、AES、RSA等关键词
   • 查找getRandomValues等随机数生成函数

2. 修改执行环境：

   • 通过覆盖关键函数实现固定随机数
   • 示例代码：

     // 替换Math.random
     Math.random = function() {
       return 0.123456789; // 固定返回值
     };
     
     // 替换crypto.getRandomValues
     if(window.crypto && crypto.getRandomValues) {
       crypto.getRandomValues = function(array) {
         for(let i=0; i<array.length; i++) {
           array[i] = 0x12; // 固定随机值
         }
         return array;
       };
     }
     

4.3 实现流量解密

1. 固定随机数后：

   • 所有会话使用相同密钥
   • 可以批量解密历史流量

2. 解密流程：

   1. 从请求中提取加密的随机数(encryptedKey)
   2. 使用私钥解密获取对称密钥
   3. 使用对称密钥解密报文(encryptedData)
   

五、防御与检测

5.1 防御措施

1. 代码混淆：

   • 使用专业工具混淆关键加密函数
   • 增加逆向分析难度

2. 环境检测：

   • 检测调试工具存在
   • 检测代理设置

3. 增强随机性：

   • 结合多源熵（时间戳、设备信息等）
   • 使用硬件随机数生成器

5.2 检测方法

1. 流量特征分析：

   • 检查随机数重复使用
   • 监控异常解密请求

2. 运行时检测：

   • 关键函数完整性校验
   • 内存篡改检测

六、总结

本文详细介绍了Windows平台下微信小程序一次一密流量解密的技术方案，核心要点包括：

1. 使用BurpSuite+Proxifier组合进行流量拦截
2. 分析小程序加密逻辑和参数传递方式
3. 通过Hook技术固定随机数实现可重复解密
4. 提供防御建议和检测方法

该技术主要用于安全研究和渗透测试，请遵守法律法规，勿用于非法用途。