QQ小程序攻击面分析工具 nextwq（6月11日更新）

===================================

免责声明

请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，大家都要把工具当做病毒对待，在虚拟机运行。如有侵权请联系删除。个人微信：ivu123ivu

0x01 工具介绍

自动搜索并分析 QQNT 中的小程序，并提供良好的界面显示，帮助红队人员快速扩大攻击面。目前主要功能：

自动路径检测 — 扫描注册表、进程、常见路径定位QQNT安装和数据目录小程序识别 — 解析 app-config.json 显示小程序名称、AppID、版本API调用分析 — 提取所有 wx.* / qq.* API调用，按类别统计URL提取 — 发现所有网络请求URL，分类为 API/CDN/文档/第三方敏感信息检测 — 检测 Token、Key、手机号、邮箱、JWT 等敏感数据权限审计 — 分析权限请求并标注安全关注点风险评分 — 综合评估小程序风险等级(0-100)数据存储浏览 — 查看 fetchData、auth、localStorage、文件系统