最近任务，要弄微信小程序的安全测试，我未做过，假设没源码情况下，目前了解的情况：
1.安卓用模拟器测试，安装微信，然后提取.wxapkg 文件，进行后续测试，反编译分析，MobSF 扫描，Burp Suite 抓包等
2.ios 由于苹果系统的封闭性，挑战更大，所以侧重抓包测试。
问题 1: 实际用安卓模拟器，测试微信小程序的，微信封号情况怎么样（如果封号严重，我就改变策略，直接拿源码测试）
问题 2：用已 root 的安卓机，测试是不是一样封号风险大。
问题 3：iOS 简单的安全测试，根据业务就抓包接口测试？还是有什么简单工具辅助测试？
目的：先完成基础的微信小程序安全测试。后续再不断完善！
欢迎吐槽和讨论！
我感觉你的思路不对啊，你这些都是微信干的活，什么检测 root、封号。。。
我觉得你抓包是对的，但是得针对产品得业务流程来进行相应的改包，验证后端是否缺乏某些权限、流程上的检验
给你一个大致的范围参考下（仅供参考）：
-----------------⬇️--------------------
编号 检测项目 风险类型
1 传输协议分析 通信数据传输安全
2 身份认证检测 通信数据传输安全
3 重放攻击检测 通信数据传输安全
4 延时型 SQL 盲注 服务器端安全
5 布尔型 SQL 盲注 漏洞服务器端安全
6 SQL 注入漏洞 服务器端安全
7 XML 实体注入漏洞 服务器端安全
8 文件上传漏洞 身份认证安全
9 文件下载漏洞 身份认证安全
10 目录遍历漏洞 服务器端安全
11 不安全的 HTTP 方法 服务器端安全
12 备份文件检测 服务器端安全
13 后门木马检测 恶意攻击防范能力
14 时间型系统命令执行漏洞 服务器端安全
15 系统命令执行漏洞 服务器端安全
16 本地文件包含漏洞 身份认证安全
17 代码执行漏洞 服务器端安全
18 代码执行漏洞 (timing) 服务器端安全
19 CSRF 漏洞 服务器端安全
20 FTP 弱口令检测 身份认证安全
21 IMAP 弱口令检测 身份认证安全
22 MSSQL 弱口令检测 身份认证安全
23 MYSQL 弱口令检测 身份认证安全
24 POP3 弱口令检测 身份认证安全
25 RDP 弱口令检测 身份认证安全
26 SSH 弱口令检测 身份认证安全
27 SVN 弱口令检测 身份认证安全
28 VNC 弱口令检测 身份认证安全
29 常见文件安全检测 服务器端安全
30 常见后台检测 服务器端安全
31 备份目录检测 服务器端安全
32 恶意 URL 检测 恶意攻击防范能力
33 版本控制信息泄漏 服务器端安全
34 源代码暴露 服务器端安全
35 私有 IP 地址暴露 服务器端安全
36 邮箱地址暴露 服务器端安全
