通过sourcemap解压缩webpack 实战

现在许多网站都使用webpack对网站打包，许多前端框架也默认配置好webpack。这会在渗透测试或挖洞过程中带来一些麻烦。这让我们极其痛苦。但是开发者忽视起潜在风险，在线上环境使用了开发环境的配置，或者配置了sourcemap允许在生产环境中使用。这使得我们有了机会。

在实际渗透过程中，许多网站还是存在这种情况。通常一般是配置了devtool: 'source-map' 。

我们可以在js的文件名后面加上.map，如果在这种该文件，我们则可以通过工具解压缩webpack。

或者当我们一般看到类似这样的代码时，也基本可以对其进行解压缩。

 

利用

可以使用的工具有：

1. SourceDetector

地址：https://github.com/SunHuawei/SourceDetector
这个工具是chrome浏览器的插件，gogole商店中没有该插件，需要自己编译，这里遇到些坑，给大家说下编译的流程（以下环境为macos下）。

安装

1. 安装nvm。brew install nvm