小白程序员必备：收藏这款微信小程序全自动化渗透测试工具！

WMP-pentest-automation 是一款微信小程序全自动化渗透测试工具链，解决了小程序更新后偏移值改变导致的注入失败问题。它集成了偏移自动提取、Frida注入、CDP代理、MCP工具链和AI渗透测试，实现完整闭环。工具支持一键启动，降低使用门槛，适用于小程序漏洞挖掘、企业安全测试、安全研究和CTF比赛等场景。

WMP-pentest-automation：微信小程序全自动化渗透测试工具链

一套完整的微信小程序（PC端）安全评估工具链，从偏移自动提取到AI渗透测试，一气呵成。

项目简介

WMP-pentest-automation 是一款集成了 WMPFDebugger、e0e1-wx、wmpf-offset-adaptation-skill 的微信小程序全自动化渗透测试工具。它解决了微信小程序更新后偏移值改变导致注入失败的痛点，实现了从偏移自动提取 → Frida 注入 → CDP 代理 → MCP 工具链 → AI 渗透测试的完整闭环。

项目地址： https://github.com/hello-xiaoniao/WMP-pentest-automation

---

核心架构

整个工具链由五层架构组成，层层递进：

偏移自动提取 → Frida 注入 → CDP 代理 → MCP 工具链 → AI 渗透测试

层级	组件	语言	核心功能
偏移提取	extract_wmpf_offsets.py	Python	从 flue.dll 自动提取 Frida 偏移量
Frida注入	WMPFDebugger	Node.js	Frida 注入，修改 CDP 过滤器和场景号
CDP代理	e0e1-wx 引擎	Python	启动 debug server + proxy server
MCP服务	e0e1-wx MCP Server	Python	通过 MCP 工具连接 CDP，提供安全分析接口
AI渗透	Claude Code / AI Agent	-	通过 MCP 工具链自动执行渗透测试

---

核心亮点

1. 自动偏移适配，告别版本焦虑

微信每次更新都会导致 Frida 偏移值变化，传统工具往往直接失效。WMP-pentest-automation 内置偏移自动提取工具，只需一行命令即可适配新版本：

python extract_wmpf_offsets.py --version 25297

2. Frida-only 模式，注入更稳定

WMPFDebugger 采用 Frida-only 模式，只做 Frida 注入，将 debug/proxy server 交由 e0e1-wx 接管，职责分离更清晰，注入成功率大幅提升。

3. MCP + AI，渗透测试智能化

通过 MCP 协议连接 Claude Code 等 AI Agent，实现自动化渗透测试。AI 可以直接调用 CDP 接口，动态分析小程序运行时行为，发现人工难以察觉的漏洞。

4. 一键启动，降低使用门槛

提供 一键启动.bat 脚本，自带 Node.js 版本检查，新手也能快速上手。

---

环境要求

项目	要求	说明
操作系统	Windows 10/11	仅支持 Windows
微信 PC 版	4.x 以上	自动安装 WMPF
Python	3.10+	推荐 3.12
Node.js	20 LTS	frida@16.6.6 需要 Node.js v20
内存	至少 16GB	分析 flue.dll 需要大量内存

---

快速上手

五步启动法（顺序不能错！）

第 1 步：启动 WMPFDebugger（Frida 注入）
 双击 WMPFDebugger/一键启动.bat
 等待出现: [frida] script loaded, WMPF version: xxx

第 2 步：启动 e0e1-wx 引擎（debug server + proxy server）
 运行: python start_engine.py
 等待出现: [OK] debug server (9421) + proxy server (62000) started

第 3 步：打开微信小程序
 在微信中点击打开一个小程序（不是拖拽）

第 4 步：启动 e0e1-wx GUI（MCP Server）
 运行: python main.py
 MCP Server 在 49999 端口自动启动

第 5 步：连接 Claude Code
 注册 MCP: claude mcp add wxcdp --transport http http://127.0.0.1:49999/mcp
 开始渗透测试

端口一览

端口	用途	由谁启动
9421	debug server（小程序连接）	start_engine.py
62000	CDP 代理（DevTools 连接）	start_engine.py
49999	MCP Server（AI 工具链）	python main.py

---

注意事项

1. 一定要看readme文件进行依赖的安装后才能正常使用；

2. 该行为可能造成微信账户风险，如果使用请务必使用小号；

适用场景

• SRC 漏洞挖掘：批量审计小程序，高效挖掘漏洞
• 企业安全测试：对企业内部小程序进行安全评估
• 安全研究：深入研究小程序安全机制
• CTF 比赛：快速分析小程序题目

---

想从事网络安全的同学，找工作最怕“理论都懂，实战发懵”。在面试中，HR和面试官更看重你对真实攻防场景的理解和动手能力。

为了帮大家搞定面试，我帮大家准备了一份 360智榜样学习中心独家《网络攻防知识库》。这份资料最大的亮点在于**“实战性”**：

知识库由360智榜样学习中心独家打造出品，旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力，熟练掌握基础攻防到深度对抗。

从零到精通完整闭环：基础攻防→渗透测试→应急响应→CTF实战，5大模块200+课时，比大学教材更贴近企业实战！”

• 涵盖 渗透测试案例分析 与 实战技巧，直接对应面试真题；
• 包含 CTF竞赛基础 与 HW行动攻防对抗 实录，丰富你的简历项目经验；
• 深入 十大安全漏洞 与 利用技巧，掌握这些高阶技能，实战SRC挖洞赚钱。

🎁 实战教学，专属靶场： 掌握这些高阶技能，谈薪更有底气。无论你是找渗透测试岗还是安全服务岗，这些项目都是加分项。

👇 点击下方链接，补齐实战短板，拿下心仪Offer：

**读者福利 |** *CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享 * **（安全链接，放心点击）**