扫码领资料
获网安教程
webpack理解
webpack会导致什么？
如何识别webpack
接口的爬取
1, 可以直接使用工具快速进行API接口的提取,jjjjjjjjjs
2,可以使用FindSomething浏览器插件提取敏感信息和接口
3，手动分析源代码，编写脚本提取JS文件路径，然后使用脚本访问JS文件，进行接口提取。
接口如何提取
以https://xxx.edu.cn/#/login 为例: 我们看到JS目录下的文件名，带有某种规律：四位数.八位字符.js
方法一
那么这里可以看到还有一列的接口：
方法二
假如此时，我不清楚js文件的路径是如何组成的，不知道特征长啥样，全局搜索也搜索不到，这时候需要进行断点调试，将路径调试出来：
此时我们先找到比较明显的js拼接路径的特征代码，（一般是/static/js/+xxx），可以看到，/static/js/路径后面拼接了一个e变量，而这个变量是以形参传入的，因此如果去翻文件找的话是不太现实的
下一步就是访问JS，然后提取JS接口，然后在对接口进行访问，测试未授权和信息泄露等漏洞了。
参考文章
● https://blog.csdn.net/weixin_43571641/article/details/121689764 webpack源码泄露利用
● https://bbs.huaweicloud.com/blogs/368891 webpack概念理解
● https://github.com/ttstormxx/jjjjjjjjjjjjjs webpack api提取工具
申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.
没看够~？欢迎关注！
分享本文到朋友圈，可以凭截图找老师领取
上千教程+工具+靶场账号哦
原文始发于微信公众号（掌控安全EDU）：webpack打包站点 | JS文件路径批量获取思路
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论