0x01 工具介绍
NextWQ 是一款面向红队研究与合规渗透测试的QQNT小程序攻击面自动化分析工具。工具可自动扫描注册表、进程完成目录定位，支持小程序信息解析、API分类统计、网络URL提取与敏感信息检测，同时具备权限审计与风险评分能力。轻量化部署、操作便捷，适配CTF竞赛训练与日常安全研判，助力安全研究者快速挖掘QQ小程序潜在风险与攻击资产，仅用于合法网络安全技术研究。
注意：现在只对常读和星标的才展示大图推送，建议大家把渗透安全HackTwo "设为 星标**⭐️****** "否 则可能就看不到了啦！
下载地址在末尾 #渗透安全HackTwo
0x02 功能介绍
✨核心能力
-
自动路径检测 --- 扫描注册表、进程、常见路径定位QQNT安装和数据目录
-
小程序识别 --- 解析
app-config.json显示小程序名称、AppID、版本 -
API调用分析 --- 提取所有
wx.*/qq.*API调用，按类别统计 -
URL提取 --- 发现所有网络请求URL，分类为 API/CDN/文档/第三方
-
敏感信息检测 --- 检测 Token、Key、手机号、邮箱、JWT 等敏感数据
-
权限审计 --- 分析权限请求并标注安全关注点
-
风险评分 --- 综合评估小程序风险等级(0-100)
-
数据存储浏览 --- 查看
fetchData、auth、localStorage、文件系统
0x03 更新介绍
换一种打包方式，这回适配 Windows 11 21H1 以上的版本优化拖拉卡住不动的问题，优化小程序反编译的时候卡顿的问题Linux 暂时适配不了，才发现没这环境打包还是太几把大了0x04 使用介绍
📦安装与使用指南
1 自动路径扫描 无需手动配置目录，启动程序后工具将全自动遍历系统注册表、后台运行进程、默认安装路径，智能识别 QQNT 核心目录、小程序缓存目录与配置文件路径，自动完成环境适配与初始化扫描。
2. 小程序数据解析 路径扫描完成后，工具自动读取并解析小程序 app-config.json 核心配置文件，批量提取小程序名称、AppID、版本信息等基础资产数据。同时全量抓取程序调用的 wx.*、qq.* 系列 API 及所有网络请求 URL，并按 API、CDN、静态资源、第三方请求维度自动分类汇总。
3. 智能风险审计与评分 内置敏感数据检测规则，可精准识别程序缓存中的 Token、密钥、JWT 令牌、手机号、邮箱等隐私敏感信息。同时自动审计小程序全部权限调用行为，标记高危权限与异常调用逻辑，结合多项安全指标，自动生成 0-100 分量化风险报告，直观判定风险等级。
4. 可视化结果查看 支持可视化浏览小程序本地缓存、持久化存储、认证数据、接口缓存等核心数据，所有扫描结果、风险点位、资产信息均结构化展示。无需手动分析日志，可快速定位高危攻击面，大幅提升安全研判与测试效率。
下载
《渗透安全HackTwo》回复20260626获取下载