小程序挖洞必备神器｜集成接口信息收集、路由枚举，Frida注入助力挖洞高效落地（2026-4-8）更新
0x01 工具介绍
小程序挖洞必备神器｜First工具集成接口信息收集、路由枚举核心功能，依托Frida注入技术，助力挖洞工作高效落地。工具基于Frida+CDP代理开发，支持GUI与CLI双模式运行，可精准收集小程序接口信息，搭配路由枚举与一键跳转功能，同时兼容微信WMPF指定版本，支持UserScript自动注入，轻量化操作适配新手与资深挖洞从业者，开源免费，为小程序挖洞与接口信息收集提供便捷解决方案。
注意：现在只对常读和星标的公众号才展示大图推送，建议大家把渗透安全HackTwo"设为星标⭐️"否则可能就看不到了啦！
下载地址在末尾 #渗透安全HackTwo
0x02 功能介绍
✨核心功能特性
主界面 / Control Panel
使用First的时候，不建议开启调试（调试主包和调试frida）的两个选项，这两个选项是用来输出全量日志的，开启之后用起来可能会比较卡。
路由导航
云函数分析
功能特性
通过 Frida 注入微信客户端，转发小程序调试协议
CDP 代理桥接，支持 Chrome DevTools 直接连接调试
路由枚举与一键跳转导航
云函数调用监控与参数分析
UserScript 自动注入（支持按 URL 匹配、run-at 时机控制）
内置安全扫描模块，生成扫描报告
深色 / 浅色主题切换
GUI（PySide6）与 CLI 双模式运行
敏感信息接口收集
0x03 更新介绍
移动调试选项功能删除敏感信息提取功能(待后续开发)删除路由导航的重定向功能新增侧栏小程序信息实时显示优化路由导航实际体验优化图标显示微信4.x 小程序注入 JSRPC 与调用
0x04 使用介绍
📦安装流程
环境要求（python >= 3.10）
安装依赖：执行命令pip install -r requirements.txt即可完成所有依赖安装。
微信版本要求
1. WMPF版本区间：19201-11581
2. 推荐微信版本：4.1.0.30
使用方法
（一）GUI 模式（推荐）
1. 执行命令 python gui.py，或双击“启动.bat”文件启动工具；2. 在工具主界面点击“启动调试”，即可开始调试；3. 小程序页面操作：点击“启动调试”前请勿打开小程序，启动调试后再重新打开小程序即可。
（二）CLI 模式
1. 默认端口启动：python main.py2. 自定义端口启动：python main.py --debug-port 9421 --cdp-port 620003. 开启详细日志：python main.py --debug-main --debug-frida
（三）连接 Chrome DevTools
工具启动后，在 Chrome 浏览器地址栏输入以下地址，即可连接调试：
devtools://devtools/bundled/inspector.html?ws=127.0.0.1:62000（四）参数说明
参数 | 默认值 | 说明 |
|---|---|---|
--debug-port | 9421 | 远程调试服务端口 |
--cdp-port | 62000 | CDP 代理监听端口 |
--debug-main | 关闭 | 输出主进程调试日志 |
--debug-frida | 关闭 | 输出 Frida 客户端日志 |
--scripts-dir | ./userscripts | UserScript 目录路径 |
--script | — | 指定单个 .js 文件注入 |
（五）UserScript 注入
1. 自动注入：将 .js 脚本放入 userscripts/ 目录，工具启动时会自动加载并按规则注入；2. 手动注入：执行命令 python main.py --script ./my_hook.js --script ./another.js，可手动指定多个脚本注入。
打包为可执行文件
执行命令pyinstaller WMPFDebugger.spec，即可将工具打包为可执行文件，方便后续直接启动使用。
下载
公众号回复20260409获取下载