微信小程序抓包小白教程
上一篇博客给大家分享了一下怎么安装新版本的BP，那这篇博客就来分享一些BP的基础用法吧。由于抓取网站大家应该是信手拈来了，使用我就讲一下怎么抓小程序的包吧🫡
安装Proxifier
抓小程序的包其实跟抓网站的包没什么太大的区别，只不过多用了一个Proxifier，那Proxifier究竟是何方神圣呢？我们看一下网上是怎么说的
看起来好牛逼的样子啊，但是不管怎样还是直接上链接
1 | https://pan.quark.cn/s/5e72662f5d9b |
解压后无脑点下一步，记住别点更新啊❗❗❗
启动Proxifier后我们需要修改一下注册信息，重新注册
注册码用我给你的，名字随便写
1 | F9ZN9-MYUAM-LSS3K-SBN7B-UT9PF |
❗记得改成所有用户
配置抓包代理
按照我的顺序一次照着修改
然后你就会发现他这里疯狂报错
别急，我们只抓微信的那就只选择微信的，按照我下面的配置把代理规则改一下
改完之后还是报错是不😂 慌啥
这是因为Proxifier 被配置为将所有网络流量转发到本地的 8080 端口（127.0.0.1:8080），但是目前并没有任何代理软件在该端口上运行。简单来说，Proxifier 找不到它要对接的上游代理服务器。你把你的BP打开就行了😊
至此你就可以开始抓你wx小程序的包了
本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 Sonh's Blog！
相关推荐
2026-07-27
从信息检索到 Burp Intruder 实战
前言网站登录入口是安全测试中非常常见的目标点。互联网上的登录方式很多，包括普通账号密码登录、后台登录、企业系统登录、短信验证码登录、图形验证码登录、二维码登录等。不同登录方式背后的风险也不同：有的系统缺少验证码，有的验证码可以被 OCR 自动识别，有的后台入口因为公开暴露而被搜索引擎收录。 本篇文章主要梳理了三个核心内容： 如何使用搜索引擎高级语法发现公开暴露的信息。 无验证码登录场景下，理解密码爆破流程。 有验证码登录场景下，如何理解验证码识别插件与 Burp Intruder 的配合方式。 搜索引擎高级检索在日常搜索中，我们通常搜索文章、图片、视频或网页标题。但在安全测试和信息收集阶段，如果想定位特定类型的网站、文档或登录页面，就需要使用搜索引擎高级语法。 常见思路包括： 12345site:目标域名 关键词filetype:pdf 关键词intitle:登录inurl:logininurl:admin 学号信息检索一些学校或机构可能会把包含学号、名单、通知、成绩说明等内容的 PDF 文档发布到公网。如果这些文件没有做好脱敏，就可能造成信息泄露。 例如下面这种检索思路...
2026-07-25
用 CC-switch 把 BurpMCP-Ultra 接入 Codex
前言很多人想把 Burp 的流量能力”接”到 AI 里用，但被各种 SSE/stdio 术语绕晕。本文基于我在 Win11 上的真实踩坑，讲清楚只用 CC-switch 一个工具完成 BurpMCP-Ultra → Codex 的全流程，不借助 supergateway、不手改 config.toml（当然原理上 CC-switch 最终也是写 ~/.codex/config.toml 的 [mcp_servers] 节 其实手改更快一些）。 环境：Win11 + Burp Suite Pro 2026.4.3 + BurpMCP-Ultra 2.1.1 + CC-switch + Codex CLI 0.130+ 为什么是这套组合 BurpMCP-Ultra 在 Burp 里以 Java 扩展形式加载，暴露 SSE 协议的 MCP 服务（默认 127.0.0.1:9876） Codex CLI 主要良好支持 stdio 和 streamable_http 传输类型 mcp-remote 是一个 stdio 桥接器：以子进程形式被 Codex 拉起，背后用 SSE ...
2026-07-26
BurpMCP+Cherry Studio实现ai漏洞挖掘
上一篇文章给大家分享了如何用 CC-switch 把 BurpMCP-Ultra 接入 Codex，但Codex要用魔法才能用，所以这篇文章给大家分享一下怎么不用魔法也可以进行ai漏洞挖掘，当然效率肯定没有Codex高。这篇主要给大家介绍一下怎么用BurpMCP+Cherry Studio实现ai漏洞挖掘 Cherry安装和配置工具介绍Cherry Studio 是一款支持多种 LLM 服务商的桌面客户端，适用于 Windows、Mac 和 Linux。 官方网址： 1https://cherryai.com.cn/ 工具安装下载工具下载地址： 1https://cherryai.com.cn/download 网站会自动检测你得电脑系统，选择对应的版本下载即可 安装工具一定要选择为所有用户安装，后面的安装步骤就是跟普通的一样了，这里就不再赘述。 运行软件后点击跳过引导直接进入软件界面 工具配置点击设置 选择平台找到硅基流动，并把右上角那个绿绿的开关打开 这里以硅基流动为例其实列表里面的平台都是可以选择的，但是我感觉硅基流动里面的模型多一点，而且新用户又有16元的...
2026-08-01
XRAY、RAD、BURP 实现自动化漏洞挖掘
Xray 漏洞扫描器工具介绍xray 是一款功能强大的安全评估工具，由多名经验丰富的一线安全从业者呕心打造而成，特性有： 检测速度快：发包速度快；漏洞检测算法效率高。 支持范围广：大至 OWASP Top 10 通用漏洞检测，小至各种 CMS 框架 POC，均可以支持。 代码质量高：编写代码的人员素质高，通过 Code Review、单元测试、集成测试等多层验证来提升代码可靠性。 高级可定制：通过配置文件暴露了引擎的各种参数，通过修改配置文件可以客制化功能。 安全无威胁：xray 定位为一款安全辅助评估工具，而不是攻击工具，内置的所有 payload 和 poc 均为无害化检查。 工具下载1https://pan.quark.cn/s/b831cfbc15a1 工具使用主动扫描主动模式：利用爬虫模拟人工去点击网页的链接，然后去分析扫描，爬虫不需要人工的介入，实现自动扫描。 步骤： 打开 cmd 切换到 xray 的存放目录： 1cd 存放xray的目录 运行扫描语句： 1Xray.exe webscan --basic-crawler http://xxx.c...
2026-07-30
Web 实战笔记：从 Vim 源码泄露到 PHP 回溯限制绕过
引言在 CTF (Capture The Flag) 的 Web 赛道中，信息泄露与代码审计是两大核心考点。这里将以一道经典的 PolarCTF 题目 [web]swp 为切入点，详细复盘从发现敏感文件、代码审计到构造 Payload 绕过的完整解题流程。同时，将对题目中涉及的底层机制（如 Vim 交换文件、PHP PCRE 回溯限制、PHP 弱类型）进行深度剖析，帮助大家建立举一反三的 Web 安全思维。 靶机地址：PolarD&N 实战复盘：PolarCTF [web]swp 解题全流程发现敏感文件 (.swp 泄露) 题目提示：题目名为 “swp”，指向 Vim 编辑器产生的临时交换文件（Swap file）。 目录扫描：使用 dirsearch 对靶机地址进行扫描，发现隐藏文件 /.index.php.swp。 获取源码：浏览器直接访问该 .swp 文件并下载，虽然包含乱码，但可从中提取出核心的 PHP 源码。 代码审计与逻辑分析恢复出的核心代码如下： 1234567891011121314151617function jiuzhe($xdmtql)...
2026-07-21
Burp Suite V2026.4.3安装
Burp Suite是什么Burp Suite是一款由PortSwigger公司开发的集成式Web应用安全测试平台。它旨在帮助安全研究人员、渗透测试人员以及开发者识别、分析和修复Web应用程序中的安全漏洞。Burp Suite通过提供一系列的工具，支持从简单的安全扫描到复杂的渗透测试等各种安全测试需求。那接下来就是大家安装Burp Suite的手把手教程了。 下载Burp Suite安装包大家不用去找了，直接复制去下载就行了 1https://pan.quark.cn/s/c674f4bea333 注意：老版本好像没有ai扫描功能，建议下载新的版本。 安装运行Burp Suite解压压缩包后看到的是一堆关于Burp Suite的文件 点击start.bat运行，进入后再点击运行等待BP启动（可以按需勾选是否需要汉化） 点击使用专业版 把框框里面的码复制到BP里面 点击下一步后点击手动激活 把BP里面的请求复制到刚刚打开的start.bat里面 然后再把start.bat里面的激活响应复制回BP里面 可以看到激活成功了 添加代理在拓展商城里面搜索omega获取插件 ...
