PC端微信小程序解密与反编译实战：wxappUnpacker 还原可读源码

简介这份资源面向需要在PC端分析、学习微信小程序的开发者提供一套解密与反编译工具及配套操作说明帮助将微信平台处理后的二进制代码还原为可读的源码形式便于研究实现思路或排查问题。压缩包共16个文件约467KB以js脚本为核心辅以bat与sh批处理命令、exe解密程序、json配置、md与pdf说明文档以及license、图片等辅助文件结构紧凑、开箱即用。目前已有206人学习下载说明其在同类工具中具备一定参考价值。读者可获得wxappUnpacker反编译脚本、小程序包解密程序、命令行操作流程与常见问题排查思路并了解wxml、wxss、js等文件的还原方法适合具备一定命令行基础、希望深入理解小程序运行机制的开发者参考使用。1. 拿到一个 PC 端小程序包先别急着双击运行很多人第一次接触 PC 端小程序逆向场景都差不多某个工具类小程序在手机上用着别扭想搬到电脑上跑或者单纯想看看它的业务逻辑是怎么写的。结果把安装目录翻了个底朝天找到一堆.wxapkg文件双击打不开改后缀也没用最后卡在「这玩意儿到底怎么解」这一步。这份资源就是冲着这个卡点来的——它把 PC 端微信小程序的解密和反编译流程打包在一起核心是wxappUnpacker这套反编译脚本外加配套的解密操作步骤亲测可用。适合两类人一类是刚入门小程序逆向、需要一份能照着敲的流程的开发者另一类是已经会抓包、但卡在「拿到包之后怎么还原成可读代码」这一步的熟手。需要提前说清楚这套东西处理的是你自己有权访问的本地包用途是学习和调试别往别的方向使。2. 解密和反编译到底在做什么从 wxapkg 到可读源码2.1 小程序包的加密结构先搞明白再动手PC 端微信小程序的包和手机端不完全一样。手机端早期是明文.wxapkg后来加了加密PC 端这边微信把小程序缓存放在用户目录下文件名通常是一串数字或哈希没有后缀或者带.wxapkg后缀但内容被加密过。直接拿文本编辑器打开看到的是乱码这就是加密层在起作用。加密本身不复杂常见做法是对整个包做一次异或或者 AES 处理密钥跟小程序 appid 或者设备信息挂钩。所以解密的第一步是找到正确的密钥来源。这份资源里的解密步骤核心思路就是从微信的本地存储里把密钥捞出来再对包体做逆向运算。理解这一点很重要解密不是「破解」它只是把微信自己加密存储的缓存还原成它本来的样子包里的代码结构、资源文件一个都没变。反编译则是第二步。.wxapkg解密后是一个自定义的二进制格式里面有文件索引表、文件内容块。wxappUnpacker干的事就是解析这个格式把里面的.js、.json、.wxml、.wxss以及图片资源全部提取出来并且对压缩过的 js 做一定程度的还原。注意它还原的是「打包后的代码」不是原始工程源码变量名可能被压缩过但逻辑是完整的。2.2 环境准备Node 版本和依赖是第一个门槛wxappUnpacker是 Node.js 写的所以本机得有 Node 环境。这里有个血泪经验Node 版本别太新。很多老的反编译脚本用的是老版本语法和依赖Node 18 以上跑起来容易报Error: Cannot find module或者语法错误。我一般会建议用 Node 14 或 16 来跑这类工具实在不行就用 nvm 切一个旧版本。依赖安装是第二个坑。脚本目录下如果有package.json先npm install。但有些包依赖的库版本很老npm 源里可能已经变了装完跑不起来。常见做法是先把node_modules删干净再用npm install --legacy-peer-deps试一次。# 查看当前 node 版本建议 14.x 或 16.x node -v # 进入工具目录安装依赖 cd wxappUnpacker npm install --legacy-peer-deps # 如果报错尝试清理后重装 rm -rf node_modules package-lock.json npm cache clean --force npm install逻辑说明--legacy-peer-deps是为了绕过新版 npm 对 peer 依赖的严格检查老项目经常需要这个参数。npm cache clean --force清掉可能损坏的缓存。参数上没什么可调的重点是版本匹配。2.3 解密操作从缓存目录定位到密钥提取PC 端微信的小程序缓存路径一般在Documents\WeChat Files\Applet或者类似的用户数据目录下。每个小程序一个文件夹名字是 appid。进去之后能看到若干无后缀文件或者.wxapkg文件。先确认哪个是主包——通常体积最大的那个。解密脚本一般会要求你提供包路径和输出路径。有的版本还需要你指定 appid因为它要从微信的索引文件里读密钥。操作步骤大致是# 假设解密脚本叫 decrypt.js主包路径为 input.wxapkg node decrypt.js ./input.wxapkg ./output.wxapkg # 如果脚本需要 appid 参数 node decrypt.js ./input.wxapkg ./output.wxapkg wx1234567890abcdef逻辑说明第一个参数是加密包路径第二个是解密后输出路径第三个可选参数是 appid。解密完成后用file命令或者十六进制查看器确认输出文件头是不是变成了可识别的格式。如果还是乱码说明密钥不对或者包选错了。提示解密前先备份原始包。有些脚本会直接覆盖原文件翻车了就得重新从微信缓存里捞。2.4 反编译执行一条命令拆出完整目录树解密拿到明文.wxapkg之后就可以上wxappUnpacker了。典型命令是# 基本用法指定输入包和输出目录 node wuWxapkg.js ./output.wxapkg ./dist # 如果包是分包需要先解主包再解子包 node wuWxapkg.js ./subpackage.wxapkg ./dist/sub逻辑说明wuWxapkg.js是主入口脚本第一个参数是解密后的包第二个参数是输出目录。执行完之后dist目录下会出现app.js、app.json、pages目录、components目录等结构跟原始工程基本一致。如果遇到分包主包解完后子包要单独解并且输出到主包目录下的对应子目录里否则路径引用会断。参数方面有些版本支持-o指定输出-d开调试日志。如果解出来的 js 文件是空的或者只有几行大概率是包没解密干净回去检查解密步骤。3. 避坑指南五个让新手卡半天的真实问题3.1 解密后文件还是乱码现象跑完解密脚本输出文件用编辑器打开依然是乱码或者文件头不对。 原因密钥提取失败或者包本身不是加密包而是压缩包。PC 端有些版本的小程序包是 zlib 压缩而非加密直接解压就行。 解决先用xxd看文件头。如果是1f 8b开头那是 gzip直接gzip -d或者改后缀为.gz解压。如果是其他乱码回去检查 appid 是否传对以及微信版本是否匹配。3.2 Node 报错 Cannot find module xxx现象执行node wuWxapkg.js时报模块找不到。 原因依赖没装全或者 Node 版本太新导致某些老包不兼容。 解决先确认node_modules存在且完整。如果装了还报错切到 Node 14 再试。还不行就手动npm install xxx补上缺失的模块。3.3 反编译出来的 js 只有一行或者被压缩得没法看现象解出来的.js文件内容全挤在一行变量名都是a、b、c。 原因这是正常的小程序打包时会做压缩和混淆。wxappUnpacker只负责提取不负责美化。 解决用 prettier 或者 js-beautify 格式化一下。命令是npx prettier --write ./dist/**/*.js。格式化后逻辑会清晰很多但变量名不会还原那是另一层工作。3.4 分包解出来路径不对页面跳转 404现象主包解完能跑子包解完后页面路径引用错误。 原因子包输出目录没放对或者主包的app.json里subpackages配置的root路径和实际输出不一致。 解决先看主包app.json里的subpackages字段确认每个子包的root和name。然后把子包解到dist/root目录下。如果还不对手动调整目录结构对齐配置。3.5 工具跑一半卡死或者内存溢出现象反编译大包时进程卡住或者报JavaScript heap out of memory。 原因包太大Node 默认内存不够。 解决加内存参数。node --max-old-space-size4096 wuWxapkg.js ./big.wxapkg ./dist。4096 是 4GB按机器配置调。如果还不行说明包里有超大文件考虑先手动拆包再逐个处理。4. 进阶技巧让反编译结果更接近可读工程4.1 用 prettier 批量格式化恢复代码缩进反编译出来的 js 是压缩过的直接读很痛苦。我一般会先跑一遍 prettier把缩进和换行恢复。如果项目里没有 prettier用 npx 临时跑一次就行。# 在 dist 目录下批量格式化 js 和 json npx prettier --write dist/**/*.js dist/**/*.json dist/**/*.wxml dist/**/*.wxss逻辑说明--write表示直接改写文件**/*.js是递归匹配所有 js。prettier 对 wxml 和 wxss 的支持一般但至少能把缩进弄整齐。格式化后配合编辑器的折叠功能读起来会舒服很多。4.2 用 source-map 或者反混淆工具做变量名还原如果包里带了 sourcemap那恭喜你直接就能还原出原始变量名。检查dist目录下有没有.map文件。如果有用source-map库或者 Chrome DevTools 加载一下代码可读性直接拉满。如果没有 sourcemap那就只能靠反混淆工具了。常见做法是用jsnice或者deobfuscator这类在线/本地工具跑一遍。效果因包而异简单的混淆能还原个七八成复杂的控制流混淆就基本没辙。这一步别抱太高期望能看懂逻辑就行。4.3 资源文件提取和图片还原wxappUnpacker会把图片、字体等资源一并解出来但有时候文件名是哈希值没有扩展名。这时候需要根据文件头判断类型。常见做法是写个小脚本批量识别import os import imghdr def rename_images(root_dir): for dirpath, _, filenames in os.walk(root_dir): for fname in filenames: fpath os.path.join(dirpath, fname) # 跳过已有扩展名的文件 if . in fname: continue img_type imghdr.what(fpath) if img_type: new_name f{fname}.{img_type} os.rename(fpath, os.path.join(dirpath, new_name)) print(frenamed: {fname} - {new_name}) rename_images(./dist)逻辑说明imghdr.what根据文件头判断图片类型返回png、jpeg、gif等。遍历目录时跳过已有扩展名的文件避免误改。这个脚本只处理图片字体文件可以用fonttools类似思路处理。跑完之后资源目录就清爽了。4.4 验证反编译结果是否完整怎么判断解出来的东西是全的我一般会做三件事第一看app.json里的pages列表逐个检查对应的.js、.wxml、.wxss、.json四个文件是否都存在第二看app.js里有没有明显的语法错误用node -c app.js检查一下第三看资源目录里图片数量是否和页面引用数量大致对得上。如果这三步都过了基本就是完整的。从那以后我每次拿到新包都强制先备份原始文件、再确认 Node 版本、最后跑一遍完整性检查这三步走完才敢往下读代码。希望帮到你。本文还有配套的精品资源点击获取