简介面向需要解析PC微信小程序本地缓存包的开发者这一工具包提供了一套基于Python的wxapkg解密方案用于解决加密小程序包无法直接读取的问题适用于自行分析或整理微信小程序包体的场景。解密脚本已在PC微信2.9.5.41版本上验证可用使用时需指定微信小程序的标识以及必要的加密向量与盐值参数输入加密包路径与输出路径即可完成还原若后续版本更换相关密钥参数脚本也预留了自行替换的说明。包内共6个文件以核心解密脚本为主体配合文本说明文档、开源许可证与版本忽略文件等辅助材料整体压缩包仅5KB轻量便捷下载后即可快速部署使用。目前已有172人学习下载适合具有一定微信小程序或逆向基础的开发者既可按说明完成当前版本下的包体解密也能通过研读代码逻辑进行参数适配与二次开发更深入地理解PC端小程序的包体存储结构与加密机制。1. PC微信小程序wxapkg解密把 Applet 目录里的加密包还原成可分析代码“PC微信小程序wxapkg解密”这个需求在分析微信小程序时几乎必然会遇到。你在C:\Users\你的用户名\Documents\WeChat Files\Applet目录里找到的每个*.wxapkg文件都是经过加密的直接丢给解包工具只会得到一堆乱码连文件头都认不出来。这份“PC微信小程序wxapkg解密.zip”资源里是一个 Python 脚本作者在 PC 微信 2.9.5.41 上实测可用输入小程序的 wxid、加密包路径和输出路径就能把加密包还原成可进一步分析的代码包。适合两类人一类是想分析小程序前端页面和接口逻辑的开发者另一类是做小程序安全评估、想快速确认包内资源结构的测试人员。不需要懂 AES 原理跟着命令走就能出结果脚本处理不了的情况也能按报错关键信息定位到是哪个参数出了问题。2. 解密前必须搞懂的三个参数wxid、iv、salt 怎么取2.1 为什么 PC 微信要把 wxapkg 加密解密链路长什么样微信小程序的代码从服务器下载后在 PC 端会以 wxapkg 文件的形式落盘。如果不加密任何人拿到本地缓存都能直接解包看源码所以微信在落盘前做了一层加密处理。加密方案是 AES-CBC 对称加密解密需要三样东西密钥、IV 和密文。密文就是你本地那个 wxapkg 文件密钥由微信小程序的 AppID脚本参数里的 wxid配合 salt 派生出来IV 是加密时设定的初始向量属于按客户端版本固定的值。这个脚本把 AES-CBC 的解密过程封装好了内置了与 PC 微信 2.9.5.41 匹配的一套默认 iv 和 salt所以你只需要提供 wxid 和包路径就能跑通。这里有个关键认知这不是什么黑匣子就是“已知参数 标准算法”的本地文件格式还原不涉及网络请求和抓包跑起来很干净。微信升级后如果客户端换了 iv 或 salt 这套派生参数默认值就会失效脚本也因此留下了--iv和--salt两个手动入口方便你按新版本参数覆盖。理解了这一点后面遇到“解密出来是乱码”就不会一脸懵。2.2 先找到 Applet 目录子目录名就是 wxid实际操作从定位目录开始。打开资源管理器在地址栏输入%USERPROFILE%\Documents\WeChat Files\Applet回车后进去你会看到每个小程序对应一个子目录目录名就是微信小程序的 AppID也就是脚本需要的 wxid。典型的样子是wx1234567890abcdef这种注意不是个人微信里那种wxid_xxxx。某个子目录内部通常放着主包__APP__.wxapkg旁边还可能有其他名字的 wxapkg 文件那些是分包或历史缓存第一次试跑优先拿主包。这里有两个容易踩的细节。第一个是微信文件保存路径可能被改过默认 Documents 路径不生效要去微信设置里的文件管理看实际位置。第二个是 Windows 路径里经常带空格和中文命令行里引用路径必须用双引号包住。我一般会把这个 Applet 路径复制到临时记事本里后面命令行要用两次避免手输入错误。这一步别偷懒路径写错一次就是一次无效执行浪费时间不说还容易被误判成解密参数问题。2.3 iv、salt 什么时候用默认值什么时候必须手动指定脚本内置的默认 iv 和 salt 是针对 PC 微信 2.9.5.41 的只要你的微信版本和测试版本一致这两个参数完全不用管脚本会自动取默认值。版本更新后如果解密失败再去考虑手动覆写。手动指定参数的场景很明确输出文件头看不出结构或者报错信息指向密钥相关计算异常。这时候要么回退微信版本要么找出新版微信使用的 iv 和 salt。常见做法是先在社区搜索对应微信版本的解密参数分析帖很多版本的分析资料是公开的也可以自己用十六进制编辑器对比新旧版本加密包的头部差异再配合调试器从客户端内存里定位密钥派生输入。后者门槛偏高不是每个人都愿意折腾所以我建议优先搜现成资料实在没有再考虑用--iv和--salt传新参数跑。注意别乱改。默认参数学能出结果的情况下不要手动指定任何值每覆盖一个参数就多一个出错点这是这个工具把--iv和--salt设计成可选参数的用意很多翻车案例都是因为强行指定了错误的自定义值导致原本能解的文件也变得解不开。3. 跑通 main.py参数说明与一次完整解密流程3.1 环境准备Python 版本、依赖与解压文件清单zip 解压后核心文件是main.py、README.md、LICENSE这些。先确认本地 Python 环境python --version建议 Python 3.6 及以上。然后安装解密依赖pip install pycryptodome不要试图用标准库硬扛AES-CBC 需要 pycryptodome 这类密码学库来提供底层算法实现。国内 pip 源速度慢的话可以加清华镜像pip install pycryptodome -i https://pypi.tuna.tsinghua.edu.cn/simple依赖装完脚本就算准备就绪了。这里有个频繁出现的报错ModuleNotFoundError: No module named Crypto看到这个错误先检查 pip 装没装成功别急着怀疑解密参数有问题。另外README.md 里通常会写明脚本的适用版本和免责说明建议先读一遍再跑尤其是微信版本变了之后README 里的注意事项能帮你少走弯路。3.2 命令行参数逐个拆解先跑一下帮助命令确认脚本入口和参数python main.py -h脚本的 usage 信息如下参数含义逐条拆开看usage: main.py [-h] --wxid 微信小程序ID [--iv iv] [--salt salt] -f 加密的小程序包文件路径 -o 解密后的小程序包文件路径参数必填说明--wxid是微信小程序 AppID对应 Applet 下的子目录名-f是加密的 wxapkg 文件完整路径-o是解密后的输出文件路径--iv否自定义 IV默认匹配 PC 微信 2.9.5.41--salt否自定义 salt默认匹配 PC 微信 2.9.5.41-h否显示帮助信息几个易错点值得单独强调。--wxid是必填项它参与密钥派生漏了脚本直接退出。-f指向的是加密包文件不是整个 Applet 目录传目录会读取失败。-o要写到你有写权限的位置别放到微信的安装目录或 Applet 目录下Windows 用户目录权限问题会带来不必要的麻烦。--wxid也不是个人微信号里的 ID是 Applet 下那个wx开头的子目录名这两者的区别后面避坑章节会详细说。3.3 一次完整的解密操作与输出确认假设你找到的小程序 AppID 是wx1234567890abcdef文件路径是默认 Documents 位置打开命令行工具执行python main.py \ --wxid wx1234567890abcdef \ -f C:\Users\admin\Documents\WeChat Files\Applet\wx1234567890abcdef\__APP__.wxapkg \ -o D:\wxapkg_decrypted\app.wxapkg逻辑说明第一行给脚本密钥派生的依据 wxid第二行是加密包的完整路径Windows 路径含空格必须用双引号包住第三行指定解密输出文件路径目录需要提前建好。三段参数缺一不可执行后没有报错输出路径下就会多出一个 wxapkg 文件。执行完先做两个快速确认输出文件大小不是 0且通常比加密包略小因为 AES-CBC 解密后去掉了填充字节用十六进制编辑器打开文件头不再是完全随机的密文。这步只是初判真正的完整验证流程放在最后一章。如果你习惯用 Node.js 或 Go也可以照着 main.py 的逻辑翻译一版但没必要直接跑这个小脚本就是最快路径。4. 避坑指南版本更新、参数失效与路径里的四个坑4.1 解密后文件头不是预期格式输出乱码现象命令执行成功输出文件也存在但用十六进制编辑器打开内容看不出任何结构全是无意义字节。原因最常见的是微信版本和脚本内置的 iv/salt 不匹配。AES-CBC 解密时只要 IV 或 salt 中有一个对不上解密出来的就是无意义字节而且这个过程不会报错脚本会正常写文件。解决确认当前微信版本再查该版本对应的 iv 和 salt。用--iv和--salt手动指定重新执行。不知道新参数的话先对比同一个小程序在旧版微信下加密包和当前加密包的头部差异或者找社区里已经分析过的对应版本资料。不要反复用同一套默认参数重试换参数再跑。4.2 把个人微信 wxid 当成小程序 AppID 用了现象命令能跑但输出文件内容明显异常或者脚本直接报错说 wxid 格式不对。原因个人微信号的 ID 是wxid_xxxxx...小程序 AppID 是wx后跟一串字母数字。Applet 目录下的子目录名才是小程序 AppID很多人错拿了自己个人微信里的 ID 填进去。解决回到 Applet 目录看你要解密那个小程序的子目录名完整复制下来就是--wxid的正确值。这两个“wxid”只是叫法相似实质上完全不是同一个东西填读错是最容易犯的低级错误。4.3 找不到 Applet 目录或者目录是空的现象按%USERPROFILE%\Documents\WeChat Files\Applet路径进去文件夹不存在或者里面什么都没有。原因微信没在这台电脑上打开过对应小程序本地没有缓存包微信文件保存位置被改到其他盘微信版本过老或过新目录组织方式不同。解决先在 PC 微信里正常打开一次目标小程序让它下载资源到本地再回来找 Applet 目录。如果路径还是不存在可以用资源管理器的搜索功能搜整个用户目录下的Applet文件夹。文档位置不等于实际位置微信允许自定义文件保存路径这是这个坑最常见的触发原因。4.4 一个小程序目录下有多个 wxapkg不知道选哪个现象wx1234567890abcdef目录下除了__APP__.wxapkg还有其他名字的 wxapkg不确定该解密哪一个。原因小程序有主包和分包机制分包也是独立的 wxapkg 文件另外微信更新缓存时可能保留旧包文件导致一个目录下出现多个文件。解决一般先解主包也就是__APP__开头的那个。分包可以逐个解密每个都当成独立包处理--wxid不变。如果你目的是看整体业务逻辑主包已经覆盖了绝大多数页面和公共代码如果是为了看某个特定功能再按需解对应名字的分包。5. 进阶用法批量解密整个 Applet 目录与接口逻辑定位5.1 批量解密用一段 Python 脚本遍历所有小程序手动一个个解密太慢尤其是 Applet 目录里缓存了十多个小程序的时候。写一段小脚本遍历每个子目录把子目录名当 wxid对每个 wxapkg 文件批量调用 main.pyimport subprocess from pathlib import Path applet_root Path.home() / Documents / WeChat Files / Applet out_root Path(D:/wxapkg_decrypted) out_root.mkdir(exist_okTrue) for pkg_dir in applet_root.iterdir(): if not pkg_dir.is_dir(): continue wxid pkg_dir.name for pkg in pkg_dir.glob(*.wxapkg): out_file out_root / wxid / (pkg.stem .decrypted.wxapkg) out_file.parent.mkdir(parentsTrue, exist_okTrue) cmd [python, main.py, --wxid, wxid, -f, str(pkg), -o, str(out_file)] print( .join(cmd)) subprocess.run(cmd)逻辑说明外层循环遍历 Applet 下每个子目录子目录名直接当作 wxid 传给脚本内层循环处理目录下所有 wxapkg 文件每个文件生成一个独立的输出文件路径按“wxid/原文件名.decrypted.wxapkg”组织。加 print 是为了出错时能直观看到是哪条命令失败方便定位到具体哪个包有问题。参数说明Path.home()取当前用户的 home 目录如果你的微信文件在自定义路径把applet_root改成实际路径。subprocess.run会阻塞等待 main.py 执行完顺序跑的好处是输出文件不会互相覆盖坏处是效率略低但几十个包的量级完全无所谓。跑完检查一下输出目录里有没有大小为 0 的文件有就说明对应的包解密失败单独处理。5.2 解密后的包怎么用来定位接口和页面逻辑解密只是第一步wxapkg 还不是直接可读的 JavaScript需要进一步解包。市面上一堆现成的小程序解包工具能把这个包按类 zip 结构拆出app-service.js、app.json、pages目录等文件。这类工具和本脚本是配合关系一个负责解密一个负责解包顺序不要搞反。解出代码之后最常见的需求是定位网络请求接口。用文本编辑器全局搜索https://、wx.request或者request(就能找到小程序调用的后端地址页面路由在app.json里pages 数组就是这个小程序的所有页面路径。如果你要做接口分析优先看app-service.js后半段那里通常是业务逻辑所在前半段基本是框架运行时代码不用逐行看。这里有个经验搜索接口时配合抓包工具交叉验证能快速确认哪些是真实业务请求哪些只是埋点或统计。解密做得到位这一步会顺利很多。如果解出来的代码里搜不到任何网络请求大概率是解包工具没认全文件格式换一个解包脚本再试别急着怀疑解密没成功。6. 最后再验证一遍文件头、字符串与开发者工具三重确认解密完别急着分析先花两分钟做三重验证避免拿乱码文件白折腾。第一看重文件头。用 Python 直接读输出文件的前 16 个字节with open(D:/wxapkg_decrypted/app.wxapkg, rb) as f: print(f.read(16).hex())加密包的头部是随机密文没有任何可读结构解密成功后头部会呈现出 wxapkg 格式的特征字节。不用背具体魔数你只要对比同一个文件解密前后的 hex 输出有明显结构差异就说明这一步成功。第二看重字符串。用命令行工具搜关键文件名strings D:\wxapkg_decrypted\app.wxapkg | findstr app-service app.json pages能搜到这些字符串说明代码内容已经还原搜不到任何内容基本可以判定解密结果有问题回到第 4 章排查 iv 和 salt。第三看重解析。用你习惯的小程序解包工具直接打开输出的 wxapkg能正常列出文件树、能看到.js和.json文件内容就是最终确认。这三步加起来不到两分钟但能挡住绝大多数“假成功”。自从那次没验证文件头、把乱码文件当成果拿去做分析、白忙了一下午之后我现在每次解密完都强制走一遍这个流程。希望帮到你。本文还有配套的精品资源点击获取
简介面向需要解析PC微信小程序本地缓存包的开发者这一工具包提供了一套基于Python的wxapkg解密方案用于解决加密小程序包无法直接读取的问题适用于自行分析或整理微信小程序包体的场景。解密脚本已在PC微信2.9.5.41版本上验证可用使用时需指定微信小程序的标识以及必要的加密向量与盐值参数输入加密包路径与输出路径即可完成还原若后续版本更换相关密钥参数脚本也预留了自行替换的说明。包内共6个文件以核心解密脚本为主体配合文本说明文档、开源许可证与版本忽略文件等辅助材料整体压缩包仅5KB轻量便捷下载后即可快速部署使用。目前已有172人学习下载适合具有一定微信小程序或逆向基础的开发者既可按说明完成当前版本下的包体解密也能通过研读代码逻辑进行参数适配与二次开发更深入地理解PC端小程序的包体存储结构与加密机制。1. PC微信小程序wxapkg解密把 Applet 目录里的加密包还原成可分析代码“PC微信小程序wxapkg解密”这个需求在分析微信小程序时几乎必然会遇到。你在C:\Users\你的用户名\Documents\WeChat Files\Applet目录里找到的每个*.wxapkg文件都是经过加密的直接丢给解包工具只会得到一堆乱码连文件头都认不出来。这份“PC微信小程序wxapkg解密.zip”资源里是一个 Python 脚本作者在 PC 微信 2.9.5.41 上实测可用输入小程序的 wxid、加密包路径和输出路径就能把加密包还原成可进一步分析的代码包。适合两类人一类是想分析小程序前端页面和接口逻辑的开发者另一类是做小程序安全评估、想快速确认包内资源结构的测试人员。不需要懂 AES 原理跟着命令走就能出结果脚本处理不了的情况也能按报错关键信息定位到是哪个参数出了问题。2. 解密前必须搞懂的三个参数wxid、iv、salt 怎么取2.1 为什么 PC 微信要把 wxapkg 加密解密链路长什么样微信小程序的代码从服务器下载后在 PC 端会以 wxapkg 文件的形式落盘。如果不加密任何人拿到本地缓存都能直接解包看源码所以微信在落盘前做了一层加密处理。加密方案是 AES-CBC 对称加密解密需要三样东西密钥、IV 和密文。密文就是你本地那个 wxapkg 文件密钥由微信小程序的 AppID脚本参数里的 wxid配合 salt 派生出来IV 是加密时设定的初始向量属于按客户端版本固定的值。这个脚本把 AES-CBC 的解密过程封装好了内置了与 PC 微信 2.9.5.41 匹配的一套默认 iv 和 salt所以你只需要提供 wxid 和包路径就能跑通。这里有个关键认知这不是什么黑匣子就是“已知参数 标准算法”的本地文件格式还原不涉及网络请求和抓包跑起来很干净。微信升级后如果客户端换了 iv 或 salt 这套派生参数默认值就会失效脚本也因此留下了--iv和--salt两个手动入口方便你按新版本参数覆盖。理解了这一点后面遇到“解密出来是乱码”就不会一脸懵。2.2 先找到 Applet 目录子目录名就是 wxid实际操作从定位目录开始。打开资源管理器在地址栏输入%USERPROFILE%\Documents\WeChat Files\Applet回车后进去你会看到每个小程序对应一个子目录目录名就是微信小程序的 AppID也就是脚本需要的 wxid。典型的样子是wx1234567890abcdef这种注意不是个人微信里那种wxid_xxxx。某个子目录内部通常放着主包__APP__.wxapkg旁边还可能有其他名字的 wxapkg 文件那些是分包或历史缓存第一次试跑优先拿主包。这里有两个容易踩的细节。第一个是微信文件保存路径可能被改过默认 Documents 路径不生效要去微信设置里的文件管理看实际位置。第二个是 Windows 路径里经常带空格和中文命令行里引用路径必须用双引号包住。我一般会把这个 Applet 路径复制到临时记事本里后面命令行要用两次避免手输入错误。这一步别偷懒路径写错一次就是一次无效执行浪费时间不说还容易被误判成解密参数问题。2.3 iv、salt 什么时候用默认值什么时候必须手动指定脚本内置的默认 iv 和 salt 是针对 PC 微信 2.9.5.41 的只要你的微信版本和测试版本一致这两个参数完全不用管脚本会自动取默认值。版本更新后如果解密失败再去考虑手动覆写。手动指定参数的场景很明确输出文件头看不出结构或者报错信息指向密钥相关计算异常。这时候要么回退微信版本要么找出新版微信使用的 iv 和 salt。常见做法是先在社区搜索对应微信版本的解密参数分析帖很多版本的分析资料是公开的也可以自己用十六进制编辑器对比新旧版本加密包的头部差异再配合调试器从客户端内存里定位密钥派生输入。后者门槛偏高不是每个人都愿意折腾所以我建议优先搜现成资料实在没有再考虑用--iv和--salt传新参数跑。注意别乱改。默认参数学能出结果的情况下不要手动指定任何值每覆盖一个参数就多一个出错点这是这个工具把--iv和--salt设计成可选参数的用意很多翻车案例都是因为强行指定了错误的自定义值导致原本能解的文件也变得解不开。3. 跑通 main.py参数说明与一次完整解密流程3.1 环境准备Python 版本、依赖与解压文件清单zip 解压后核心文件是main.py、README.md、LICENSE这些。先确认本地 Python 环境python --version建议 Python 3.6 及以上。然后安装解密依赖pip install pycryptodome不要试图用标准库硬扛AES-CBC 需要 pycryptodome 这类密码学库来提供底层算法实现。国内 pip 源速度慢的话可以加清华镜像pip install pycryptodome -i https://pypi.tuna.tsinghua.edu.cn/simple依赖装完脚本就算准备就绪了。这里有个频繁出现的报错ModuleNotFoundError: No module named Crypto看到这个错误先检查 pip 装没装成功别急着怀疑解密参数有问题。另外README.md 里通常会写明脚本的适用版本和免责说明建议先读一遍再跑尤其是微信版本变了之后README 里的注意事项能帮你少走弯路。3.2 命令行参数逐个拆解先跑一下帮助命令确认脚本入口和参数python main.py -h脚本的 usage 信息如下参数含义逐条拆开看usage: main.py [-h] --wxid 微信小程序ID [--iv iv] [--salt salt] -f 加密的小程序包文件路径 -o 解密后的小程序包文件路径参数必填说明--wxid是微信小程序 AppID对应 Applet 下的子目录名-f是加密的 wxapkg 文件完整路径-o是解密后的输出文件路径--iv否自定义 IV默认匹配 PC 微信 2.9.5.41--salt否自定义 salt默认匹配 PC 微信 2.9.5.41-h否显示帮助信息几个易错点值得单独强调。--wxid是必填项它参与密钥派生漏了脚本直接退出。-f指向的是加密包文件不是整个 Applet 目录传目录会读取失败。-o要写到你有写权限的位置别放到微信的安装目录或 Applet 目录下Windows 用户目录权限问题会带来不必要的麻烦。--wxid也不是个人微信号里的 ID是 Applet 下那个wx开头的子目录名这两者的区别后面避坑章节会详细说。3.3 一次完整的解密操作与输出确认假设你找到的小程序 AppID 是wx1234567890abcdef文件路径是默认 Documents 位置打开命令行工具执行python main.py \ --wxid wx1234567890abcdef \ -f C:\Users\admin\Documents\WeChat Files\Applet\wx1234567890abcdef\__APP__.wxapkg \ -o D:\wxapkg_decrypted\app.wxapkg逻辑说明第一行给脚本密钥派生的依据 wxid第二行是加密包的完整路径Windows 路径含空格必须用双引号包住第三行指定解密输出文件路径目录需要提前建好。三段参数缺一不可执行后没有报错输出路径下就会多出一个 wxapkg 文件。执行完先做两个快速确认输出文件大小不是 0且通常比加密包略小因为 AES-CBC 解密后去掉了填充字节用十六进制编辑器打开文件头不再是完全随机的密文。这步只是初判真正的完整验证流程放在最后一章。如果你习惯用 Node.js 或 Go也可以照着 main.py 的逻辑翻译一版但没必要直接跑这个小脚本就是最快路径。4. 避坑指南版本更新、参数失效与路径里的四个坑4.1 解密后文件头不是预期格式输出乱码现象命令执行成功输出文件也存在但用十六进制编辑器打开内容看不出任何结构全是无意义字节。原因最常见的是微信版本和脚本内置的 iv/salt 不匹配。AES-CBC 解密时只要 IV 或 salt 中有一个对不上解密出来的就是无意义字节而且这个过程不会报错脚本会正常写文件。解决确认当前微信版本再查该版本对应的 iv 和 salt。用--iv和--salt手动指定重新执行。不知道新参数的话先对比同一个小程序在旧版微信下加密包和当前加密包的头部差异或者找社区里已经分析过的对应版本资料。不要反复用同一套默认参数重试换参数再跑。4.2 把个人微信 wxid 当成小程序 AppID 用了现象命令能跑但输出文件内容明显异常或者脚本直接报错说 wxid 格式不对。原因个人微信号的 ID 是wxid_xxxxx...小程序 AppID 是wx后跟一串字母数字。Applet 目录下的子目录名才是小程序 AppID很多人错拿了自己个人微信里的 ID 填进去。解决回到 Applet 目录看你要解密那个小程序的子目录名完整复制下来就是--wxid的正确值。这两个“wxid”只是叫法相似实质上完全不是同一个东西填读错是最容易犯的低级错误。4.3 找不到 Applet 目录或者目录是空的现象按%USERPROFILE%\Documents\WeChat Files\Applet路径进去文件夹不存在或者里面什么都没有。原因微信没在这台电脑上打开过对应小程序本地没有缓存包微信文件保存位置被改到其他盘微信版本过老或过新目录组织方式不同。解决先在 PC 微信里正常打开一次目标小程序让它下载资源到本地再回来找 Applet 目录。如果路径还是不存在可以用资源管理器的搜索功能搜整个用户目录下的Applet文件夹。文档位置不等于实际位置微信允许自定义文件保存路径这是这个坑最常见的触发原因。4.4 一个小程序目录下有多个 wxapkg不知道选哪个现象wx1234567890abcdef目录下除了__APP__.wxapkg还有其他名字的 wxapkg不确定该解密哪一个。原因小程序有主包和分包机制分包也是独立的 wxapkg 文件另外微信更新缓存时可能保留旧包文件导致一个目录下出现多个文件。解决一般先解主包也就是__APP__开头的那个。分包可以逐个解密每个都当成独立包处理--wxid不变。如果你目的是看整体业务逻辑主包已经覆盖了绝大多数页面和公共代码如果是为了看某个特定功能再按需解对应名字的分包。5. 进阶用法批量解密整个 Applet 目录与接口逻辑定位5.1 批量解密用一段 Python 脚本遍历所有小程序手动一个个解密太慢尤其是 Applet 目录里缓存了十多个小程序的时候。写一段小脚本遍历每个子目录把子目录名当 wxid对每个 wxapkg 文件批量调用 main.pyimport subprocess from pathlib import Path applet_root Path.home() / Documents / WeChat Files / Applet out_root Path(D:/wxapkg_decrypted) out_root.mkdir(exist_okTrue) for pkg_dir in applet_root.iterdir(): if not pkg_dir.is_dir(): continue wxid pkg_dir.name for pkg in pkg_dir.glob(*.wxapkg): out_file out_root / wxid / (pkg.stem .decrypted.wxapkg) out_file.parent.mkdir(parentsTrue, exist_okTrue) cmd [python, main.py, --wxid, wxid, -f, str(pkg), -o, str(out_file)] print( .join(cmd)) subprocess.run(cmd)逻辑说明外层循环遍历 Applet 下每个子目录子目录名直接当作 wxid 传给脚本内层循环处理目录下所有 wxapkg 文件每个文件生成一个独立的输出文件路径按“wxid/原文件名.decrypted.wxapkg”组织。加 print 是为了出错时能直观看到是哪条命令失败方便定位到具体哪个包有问题。参数说明Path.home()取当前用户的 home 目录如果你的微信文件在自定义路径把applet_root改成实际路径。subprocess.run会阻塞等待 main.py 执行完顺序跑的好处是输出文件不会互相覆盖坏处是效率略低但几十个包的量级完全无所谓。跑完检查一下输出目录里有没有大小为 0 的文件有就说明对应的包解密失败单独处理。5.2 解密后的包怎么用来定位接口和页面逻辑解密只是第一步wxapkg 还不是直接可读的 JavaScript需要进一步解包。市面上一堆现成的小程序解包工具能把这个包按类 zip 结构拆出app-service.js、app.json、pages目录等文件。这类工具和本脚本是配合关系一个负责解密一个负责解包顺序不要搞反。解出代码之后最常见的需求是定位网络请求接口。用文本编辑器全局搜索https://、wx.request或者request(就能找到小程序调用的后端地址页面路由在app.json里pages 数组就是这个小程序的所有页面路径。如果你要做接口分析优先看app-service.js后半段那里通常是业务逻辑所在前半段基本是框架运行时代码不用逐行看。这里有个经验搜索接口时配合抓包工具交叉验证能快速确认哪些是真实业务请求哪些只是埋点或统计。解密做得到位这一步会顺利很多。如果解出来的代码里搜不到任何网络请求大概率是解包工具没认全文件格式换一个解包脚本再试别急着怀疑解密没成功。6. 最后再验证一遍文件头、字符串与开发者工具三重确认解密完别急着分析先花两分钟做三重验证避免拿乱码文件白折腾。第一看重文件头。用 Python 直接读输出文件的前 16 个字节with open(D:/wxapkg_decrypted/app.wxapkg, rb) as f: print(f.read(16).hex())加密包的头部是随机密文没有任何可读结构解密成功后头部会呈现出 wxapkg 格式的特征字节。不用背具体魔数你只要对比同一个文件解密前后的 hex 输出有明显结构差异就说明这一步成功。第二看重字符串。用命令行工具搜关键文件名strings D:\wxapkg_decrypted\app.wxapkg | findstr app-service app.json pages能搜到这些字符串说明代码内容已经还原搜不到任何内容基本可以判定解密结果有问题回到第 4 章排查 iv 和 salt。第三看重解析。用你习惯的小程序解包工具直接打开输出的 wxapkg能正常列出文件树、能看到.js和.json文件内容就是最终确认。这三步加起来不到两分钟但能挡住绝大多数“假成功”。自从那次没验证文件头、把乱码文件当成果拿去做分析、白忙了一下午之后我现在每次解密完都强制走一遍这个流程。希望帮到你。本文还有配套的精品资源点击获取
