网安web攻防第二十二天

#知识点：

1、原生JS&开发框架-安全条件

2、常见安全问题-前端验证&未授权

#详细点：

1、什么是JS渗透测试？

在Javascript中也存在变量和函数，当存在可控变量及函数调用即可参数漏洞

JS开发的WEB应用和PHP，JAVA,NET等区别在于即没有源代码，也可以通过浏览器的查看源代码获取真实的点。所以相当于JS开发的WEB应用属于白盒测试（默认有源码参考）

2、流行的Js框架有那些？

3、如何判定JS开发应用？

    插件wappalyzer

       源代码简短

       引入多个js文件

       一般有/static/js/app.js 等顺序的js文件

       cookie中有connect.sid

4、如何获取更多的JS文件？

       JsFinder

    Packer-Fuzzer

       扫描器后缀替换字典

5、如何快速获取价值代码？

       method:"get"

       http.get("

       method:"post"

       http.post("

       $.ajax

       service.httppost

       service.httpget

判定js，一般看三个就行，第一个就是那个插件wappalyzer，这个在资源库中有，并且还有教程，第二个就是访问网站的时候看加载的数据包文件，有没有js文件，还有就是cookie中有connect.sid。

案例：

安全条件-可控变量&特定函数

我们前面说过漏洞的产生就是可控变量加上特定函数的调用。

真实应用-APP应用直接重置密码

打开模拟器，点开我们的福利期货，先进行抓包，得到他的地址，然后在浏览器中打开，就相当于把小程序上的渗透测试转到web测试。右键检查，方便我们对代码进行分析。通过代码我们可以看到，对登录密码进行修改时，当code等于200时，就会直接跳转到修改密码的页面，然后我们利用下面图片的那个按键，来对服务器发过来的包进行修改。修改密码后还是利用这个方法修改code，最后利用新密码登录，发现不行，继续修改code。(相当于只要不行就改code，但不是说每个网站都是，这个得看代码逻辑)最后提示用户名错误，我和迪总一样的经历。狄总说时可以的，但是我做的和迪总一样，看你做的能不能登陆吧飞哥。

真实应用-违法彩彩文件上传安全

由于打不开网站，案例没法做，主要就是告诉我们，如果网站是js写的，那么可以看代码逻辑发现逻辑漏洞，就比如本案例的上传图片对类型做过滤了，我们不能直接禁用js代码去实现绕过，迪总说可以下载源代码然后干什么不知道，飞哥说可以删除js的验证代码进行绕过，应该是可以的，只是我没实验成功.。

总结：js开发的应用是面向源码的应用，我们可以从代码中分析它的逻辑，从而知道有没有安全问题。

开发框架-Vulhub-Node.JS安全

框架这个东西就好比是个工具库，比如你要为这个网站增加一个文件上传的功能，不用框架的话，就自己写代码，一点一点写出来。用框架就直接调用框架中这个文件上传的功能文件即可。可以说是非常方便了。但是有一点不好的是，如果这个框架爆了漏洞，那么你这个用框架开发的网站也要遭殃。

最后这个vuilhub搭建方法在资源库中有，，以及node.js这个漏洞的讲解也有。