文章总结： 本文介绍发现微信隐藏资产的方法以扩展SRC与红队攻击面。作者讲解通过ICP备案结合公众号后台获取AppID的流程，并发布自研的00Query工具。该工具基于零零信安API，支持按企业名快速查询公众号fakeid与小程序AppID，结合跳转工具可高效挖掘嵌套H5资产，提供实用的资产收集方案。 综合评分： 76 文章分类： SRC活动,红队,安全工具,实战经验

00Query 发布！基于00信安API的微信公众号/小程序隐藏资产发现工具，快速扩展SRC漏洞挖掘攻击面！

原创

地图大师挖漏洞 地图大师挖漏洞

地图大师的漏洞追踪指南

2026年7月13日 16:17 天津

在小说阅读器读本章

去阅读

#

1.小程序及公众号资产查找

大家好，依旧是我，地图大师！今天给大家带来点好康的！！

为什么公众号以及小程序资产越来越重要？

对于红队和 SRC 漏洞挖掘来说，公众号/小程序资产寻找的重要性越来越高，而且很多时候比传统 Web 资产更有价值。原因在于很多企业已经把核心业务迁移到了微信生态，但安全建设往往没有完全跟上。

文中使用的工具已开源至github在地图大师仓库找00query即可

过去企业的业务通常是：

现在很多企业变成了：

今天就告诉大家一些寻找微信公众号和小程序的方法，并且地图大师也给大家开发了便利的工具供大家使用，一定要看到最后呦。并且地图大师专门做了个00信安的图形化查询工具供大家寻找微信小程序和公众号资产。

一、方案1：通过微信小程序面板直接搜索名字（传统方案）

二、方案2：通过ICP备案查找该企业备案的小程序并使用微信公众号后台查询小程序appid

（1）使用icpApi查询目标企业已备案的小程序

（2）注册一个微信公众号进入微信公众号后台

（3）验证身份进入该功能

（4）输入备案查询到的小程序名字，点击查询，如果查不到，代表该小程序已消失，能查询到的话我们点击f12在查询一次获取小程序appid(appid相当于小程序的身份证号)

（5）拿到整个ID后微信打开公众号，地图大师的漏洞追踪指南

（6）进入到下方功能找到小程序跳一跳，至于公众号跳一跳怎么用我们后面来讲，先专注于小程序跳一跳（小程序跳转工具我看网上有很多前辈已经做了，就直接公众号里搜了一个供大家使用，大家用哪个都行，公众号跳一跳是大师自己做的一个简单的小网页）

三、没有ICP备案的情况下，使用地图大师特制零零信安综合查询工具进行查询

工具已开源在地图大师的github仓库：returnwrong/00query

首先需要点击右上角配置好你的00信安key

key获取：访问00信安官网注册后获取

（1）选择移动端应用模块，支持icp备案号已经企业名查询，语法如下，一般大师喜欢公众号和小程序一起查询

icp==沪ICP备07032180号&&(type==微信小程序||type==微信公众号)

company==中国银联股份有限公司&&(type==微信小程序||type==微信公众号)

（2）双击具体条目可复制公众号的fakeid或者小程序的appid

四、公众号跳转：现在好多资产都嵌套在微信公众号里做h5网页，遇到这种我们怎么找资产呢？

（1）依旧通过地图大师特制0.zone综合查询工具，获取公众号的fakeid

（2）打开 公众号：地图大师的漏洞追踪指南

（3）选择公众号跳一跳

（4）获取到链接，不要复制到浏览器打开，直接点击打开

（5）复制fakeid进框里然后就可以跳转到公众号首页或者历史消息啦，你自己二选一把

如果公众号主页打不开，就点历史消息那个（因为有的公众号注销了）

最后感谢奶龙师傅提供api key给我做测试用,感激的心！！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：地图大师的漏洞追踪指南 地图大师挖漏洞 地图大师挖漏洞《00Query 发布！基于00信安API的微信公众号/小程序隐藏资产发现工具，快速扩展SRC漏洞挖掘攻击面！》