WEB攻防----信息收集篇（3）Javascript架构

解决：

1. 如何从表现中的JS提取价值信息

2. 如何从地址中FUZZ提取未知的JS文件

3. 如何从JS开发框架WebPack进行测试

什么是JS渗透测试

在Javascript中也存在变量和函数，当存在可控变量及函数调用即可参数漏洞，JS开发的WEB应用和PHP，JAVA,NET等区别在于即没有源代码，也可以通过浏览器的查看源代码获取真实的点。获取URL，获取JS敏感信息，获取代码传参等，所以相当于JS开发的WEB应用属于白盒测试（默认有源码参考），一般会在JS中寻找更多的URL地址，在JS代码逻辑（加密算法，APIkey配置，验证逻辑等）进行后期安全测试。

• 前提：Web应用可以采用后端或前端语言开发

  • 后端语言：php java python .NET 浏览器端看不到真实的源代码

  • 前端语言：JavaScript(JS)和JS框架 浏览器端看到真实的源代码

• 例子：

  • zblog：核心功能采用PHP语言去传输接受

  • vue.js：核心功能采用框架语法（JS）传输接受

</