一条“年报提醒”短信，把个体工商户C某引向一个“政务平台”小程序。
案件中，C某按小程序页面提示填写信息、支付完所谓的“补办费”后，才发现被骗。仿冒小程序往往是这类诈骗流程中的关键一环。
分析这类小程序，可以从静态和动态两方面入手：
静态分析程序包中的代码和配置，查找页面功能、开发框架及第三方服务等线索；
动态分析用户操作时的网络请求，确认数据与哪些地址交互。
将两方面的结果对应起来，可以梳理数据去向，为后续调证提供依据。
微信小程序在应用内运行，页面、脚本、配置和图片等内容会以程序包的形式供客户端加载。
在Windows微信的本地数据中，这类程序包通常以.wxapkg为后缀。
同一个小程序可能包含主包、分包和插件包，本地也可能保存不同版本。
取得文件时，需核对 AppID、账号和版本，以免漏掉关联的包，或混入其他版本。以部分Windows微信版本为例，可以从以下位置查找：
%APPDATA%\Tencent\xwechat\radium\Applet\packages\
%APPDATA%\Tencent\xwechat\radium\users\<账号哈希>\applet\packages\
平航Link+上线微信小程序程序包获取与抓包工具，支持扫描Windows端微信常见的程序包目录，也可以在已提取的文件中查找目标程序包，并提供网络抓包功能。
如何使用？
固定目标小程序程序包
通过规范操作，固定目标小程序对应的程序包文件。
下载安装工具
通过平航Link+工具箱 -> 选择“平航PTU工具” -> 下载安装“平航微信小程序程序包获取与抓包工具”
导入程序包使用
根据指引选择目标程序包并导入后，选择目标小程序进行解析。
静态分析
在工具中选择目标小程序进行反编译，查看相关代码。代码和配置中可以分析是否存在开发框架、第三方SDK服务（地图、统计等）、代码注释、请求域名和接口路径等线索，供后续核查和调证使用。
动态分析
需要获取动态数据时，打开目标小程序，在工具的“网络抓包”页面进行动态抓包。
在小程序中操作相关功能，如提交登录、点击某项按钮等，结合抓包时请求的数据，重点看域名、接口路径、提交的参数，以及能够取得的返回内容。将这些信息与程序包中的操作对应起来，可以确认本次操作实际出现了哪些请求，数据发往了哪里。
此外，平航Link+同时提供IP地址批量查询工具，用于协助判断抓包获得的IP地址归属地。
通过本地离线库批量查询IPv4归属地，查询结果包含国家、省市、运营商等信息。
* 详询平航官方技术团队
申请“平航Link+取证管家”使用权限
可联系区域销售申请。
Link+工具箱 -> PTU工具
下载安装即可
产品试用与技术支持
联系平航区域销售或技术
