安全技术人员在对微信小程序进行渗透测试的时候,不想打开安卓模拟器或者真机捉包测试。但想通过浏览器打开访问小程序的网站,配合捉包软件等做安全测试。但是偶尔有些小程序在浏览器访问的时候,会提示“请在微信客户端打开链接”。
这时候就很懊恼,是吧?可以通过以下方法不用模拟器或者真机交互,也能实现浏览器捉取微信小程序的数据包。
0x01 实现办法
在开始前先思考一下,为什么会触发“请在微信客户端打开链接”。网页代码又是通过什么特征判断的?
答:javascript通过判断Header头是不是微信+手机特征的User-Agent,从而实现区分当前环境是浏览器或者是手机微信端。
那么既然是通过Header头从而实现的方法,那么我们在浏览器新建添加Header头,即可解决问题。
1、键盘F12 ,控制台-鼠标点击,切换模式。
2、编辑(Edit),设备(Devices),添加自定义设备(Add custom Device)。
3、在设备当中命名为weixinua,添加User-Agent字段,保存。
Mozilla/5.0 (Linux; Android 5.0; SM-N9100 Build/LRX21V) > AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 > Chrome/37.0.0.0 Mobile Safari/537.36 > MicroMessenger/6.0.2.56_r958800.520 NetType/WIFI
4、选择设备尺寸为刚刚设定的weixinua,刷新访问页面即可看到小程序原本的页面,而非“请在微信客户端打开链接”。
原创文章,作者:李康哲,如若转载,请注明出处:https://www.xiaolanzy.com/1255.html