你真的会Webpack加密算法逆向吗？

              ———————重  要  声  明——————

本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号团队不为此承担任何责任。

关于HVV的时间，最近网上众说纷纭，有说从6月初开始，现在7月初了；也有说从6月中旬开始的，现在7月初了；也说6月底或者7月1号开始的，现在马上都7月7号；唉！各位大佬们，别猜了，"现在好不容易有了清闲时间，你们非说HVV时间，HVV加不加班我们能不知道吗？"（正常玩梗，不针对任何人！）

在渗透测试中，webpack文件泄露也同样影响着网站的安全性。

webpack常见漏洞主要如下：

1. 文件包含漏洞：Webpack的动态导入功能可能会导致远程代码执行漏洞，攻击者可以在URL中注入恶意代码。

2. 路径穿越漏洞：Webpack默认使用相对路径引入文件，若不检查文件路径，可能导致路径穿越漏洞。

3. 密码泄露漏洞：在Webpack配置文件中，可以存储敏感信息，若不妥善保管可能导致密码泄露。

有点跑题了，回到正文，在某次渗透测试中，发现网站对数据包进行了加密处理

通过调试，找到加解密位置

发现是通过调用o函数中的加解密函数进行加密和解密，向上查找o出现的位置

按常规操作，先找找t是什么函数，得到如下函数

这其实就是通过webpack加载器，加载了t(“xxx”)中的值，使用了webpack加载器的函数会有以下特征：

1.如上图中的t(“xxx”)调用取值

2.如以下格式函数

3.通过浏览器插件判断

接着就是扣取webpack加载器代码了

最终格式如下

运行后便可得到加载器对应的模块，之后就是跟补普通js代码一样，缺什么模块补什么模块即可

最后结合python编写自动化加解密脚本，下班下班

点击上方  关注我们