烬分享

1. 一键扫描 wxapkg 文件，自动检测微信本地目录并列出所有小程序包 2. 智能解密 wxapkg，支持 V1/V2 两种加密方式，自动识别加密状态 3. 批量解包处理，多线程并发提取，显示实时进度与包类型 4. 小程序信息在线查询，输入 AppID 即可获取名称、主体、描述等详情 5. 敏感信息深度扫描，覆盖手机号、身份证、密钥、云服务令牌等 48 项规则 6. 签名算法自动分析，识别 MD5/SHA/HMAC/AES/RSA/SM4 等加密模式 7. Chaos VM 检测与提取，自动生成 sign_helper.js 辅助动态签名 8. JS 反混淆引擎，解码字符串表、Base64、Unicode、FromCharCode 等多层混淆 9. 隐藏逻辑检测，自动发现调试接口、后门代码、特权操作等可疑逻辑 10. mitmproxy 双代理套件一键生成，下游解密+上游重签名，打通 Burp 联动 11. API 模糊测试，支持 ID 枚举、批量投票、掷骰子、字典攻击等多种模式 12. Hook 注入框架，覆盖请求、认证、存储、支付、导航五大核心模块 13. 数据流分析，自动提取存储键、API 端点、事件名称、全局变量等关键数据 14. 反反调试脚本，绕过小程序环境检测，伪装 iOS 设备信息 15. 代码转换工具，提取 API 端点、请求路径、配置信息、关键词匹配 16. API 端点自动发现，智能过滤静态资源，去重输出有效接口 17. HTML 交互式报告，按严重程度分级展示，支持暗色主题可视化 18. JSON 结构化报告，完整记录扫描结果，便于二次处理与自动化 19. 环境一键检查，验证 Python/Node.js/mitmproxy/CA 证书等依赖状态 20. 全流程自动化，scan + unpack + analyze 一条命令完成全部渗透流程 21. 包类型智能识别，区分小程序/小游戏/插件/子包/框架包等类型 22. app-config.json 自动解析，提取页面路由、子包、权限等配置信息 23. 请求拦截器自动检测，定位 interceptor 逻辑便于绕过签名 24. 模块化 Python 架构，15 个模块 4800+ 行代码，方便二次开发扩展