记一次微信小程序逆向

记一次小程序逆向

遇到瓶颈了，不知道该干什么，突然想到学校的小程序
闲来无事就看一看[doge]

抓包下来的数据是这样的，嗯，下机（hhh

一、反编译程序

加密嘛，之前抓了看到是加密就放弃了，现在重新弄一弄
https://github.com/wux1an/wxapkg
用这个工具反编译本地微信小程序

于是乎拿到js源码看一看

二、AES加密

找到一些信息

AES加密，CBC模式，key和偏移量都拿到了

1）解密

可以解密数据
在线AES加密解密 - 无双工具 (wushuangzl.com)

三、重放

1）sign签名

这边数据包中有个签名值，还有个时间戳timestamp，防止重放，所以要尝试知道怎么计算这个sign值

继续查看源码
找到一处signMD5的调用，应该是md5的计算

找到