JS逆向之Webpack(一)

已于 2022-03-10 13:52:33 修改
阅读量6.2k 收藏 37
点赞数 7
分类专栏： js逆向 文章标签： webpack javascript 前端
于 2022-03-09 14:29:32 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44675969/article/details/123376923
版权
本文探讨了JavaScript逆向工程中针对Webpack的解析过程，重点在于如何找到加密点并理解Webpack打包后的代码流程。作者通过分析xhr请求，定位到加密逻辑，详细介绍了如何跟踪代码、提取模块，并构造自执行方法以模拟加密过程。同时，文章提及了动态加载的js在调试时的挑战及解决跨域问题的方法。
摘要由CSDN通过智能技术生成

JS逆向之Webpack(一)

今天我们来学习一下js逆向之扣webpack代码

网址如下

https://www.gm99.com/

需要逆向的值：

登录请求的password

image-20220309105509657

首先肯定不是md5或者sha1或者des这类的，看上去想rsa，因为可以看到输入相同的密码加密后的结果不一样，好了那我们就开始吧

找到加密点

这是一个xhr请求，那我们直接看方法栈，很容易定位到时在n.login这里做了手脚，点进去看看
image-20220309105723595

然后已经可以发现加密的地方了

image-20220309105859016

然后我们下个断点，再提交一次看看

image-20220309105944018

可以看到是对raw password和时间戳进行组合然后加密，我们进到这个方法,，可以看到是在这里进行加密的

image-20220309110437810

再点进去看看，妈呀都是啥

image-20220309110644936

然后就是重头戏了

为什么是webpack

我们可以发现上面那张图中的所有方法，其实都在这个下面

image-20220309110806910

然后我们也会发现，之前加密所属的地方，前面有个3

image-20220309110847771

这就让我怀疑这是webpack，然后我们翻到文件的最上面，发现有一个立即执行函数

image-20220309110947480

但在这里普及一下webpack打包后的结果

!function (x)
最低0.47元/天 解锁文章
阿波罗尼斯圆不是圆
关注
专栏目录
JS逆向之Webpack(二)
Wxc的Blog
03-10 2326
JS逆向之Webpack(二) 难度： ⭐️ 网址如下 https://synconhub.coscoshipping.com/ 需要逆向的值： 登录请求的password 找到加密的位置 看起来想RSA，所以试着搜搜以下关键词 setPublicKey( encrypt( password username 比如搜password,73个，直接放弃~ setPublicKey(，这个少，就这个了 xhr断点也打一个 可以看到已经是加密的 翻翻方法栈，找到个很可疑的，也加个断点 再提交一下
JS逆向 webpack解密
lmttlw的博客
11-18 3861
JS webpack解密 ，这个网站很坑，那个验证字段搜不到，XHR断点也断不到，就很奇怪，不过竟然我敢写这篇文章，就代表我是过了的。
某站webpack打包JS逆向，keyCipher、keySM2Cipher参数分析
tiebanggg的博客
09-12 1873
文章目录前言一、抓包分析二、参数解析1.加密定位2.参数分析总结 前言 今天来水一篇文章，某站webpack打包类型，登录、数据解密参数keyCipher、keySM2Cipher。本文章仅供学习研究，如若侵犯到贵公司权益请联系229456906@qq.com第一时间进行删除；各位朋友切忌用于一切非法途径，否则后果自行承担！ 地址：gov地址就不放了，主要讲思路。。。 一、抓包分析 老规矩，打开登录框输入138****8888，1111111点击登录按钮进行抓包。 当点击登录后，看第一条请求： 看
干货！ | 利用shuji还原webpack打包源码
最新发布
2301_80127209的博客
08-29 905
前段时间做一个银行的项目，是在别人已经打过好多次的基础上继续打，而且时间很短，也是没办法要有产出，这个银行很多站点都是webpack打包，就新学了一个点：利用shuji获取webpack打包站源码（防止自己0产出非常尴尬），这个就算审代码没有审出来东西，在项目上也可以交。另外因为我也是自己琢磨的，很多地方可能会比较繁琐笨拙，求大佬指点。
JS逆向---webpack专题讲解
m0_52336378的博客
08-04 2635
webpack是一个现代的前端打包工具，它的主要作用是将多个模块打包成一个或多个静态资源文件。通过配置webpack，我们可以定义入口文件和出口文件，使用插件和加载器来处理不同类型的文件，以及设置开发模式和使用webpack开发服务器。[1][2]使用webpack可以实现模块化开发，提高前端项目的开发效率和性能。对于webpack的配置项，我们需要了解入口和出口的设置，插件和加载器的使用，以及开发模式和webpack开发服务器的运作过程。声明。
【js逆向】webpack打包网站
weixin_55205599的博客
12-05 967
在工作之余看到此篇文章，之前没有了解过js逆向，更没有了解到webpack打包。src漏洞挖掘篇之前端接口爬取测试思路 - FreeBuf网络安全行业门户。问题一：如何识别此网站是用webpack网站打包？可以大概知道是webpack打包的js代码。且这篇帖子附上了爬取脚本，拿过来。类似于：n：["xxx"]问题二：js逆向是什么？
爬虫：JS逆向之Webpack-乾坤大挪移
gwb0516的专栏
11-21 3111
通俗易懂webpack逆向的教程，方便初学者可以对照着一步一步验证调试。
js逆向webpack
weixin_46468720的博客
10-19 1476
webpack遇到其它站的代码，扣加载器的时候，例如下图，除了function n(t){}这个函数，其它代码都删掉，判断标准是它带call或者apply。然后简化下加载器，对照着上面webpack最简单的样子，简化。案例：例如定位到的方法在一个webpackjs文件中。1、找到加载器（加载模块的方法）扣代码会遇到的基本2种形式。然后把他的模块加载器扣下来。3、构造一个自执行方法。
js逆向——webpack扣法
sin_0119的博客
03-19 5004
是个静态模块打包工具，目的是为了让前端工程师写的前端代码变成浏览器可以识别的代码，并且可以达到前端项目的模块化，也就是如何更高效地管理和维护项目中的每一个资源。这是因为加载器函数实际上是在你打开网页的时候就已经加载到内存中了，而只有当我们进行登录这一具体操作时才会执行调用这个函数，所以这时是找不到加载器的。直接把大对象给传进去了，而是在另一个独立的文件里面，那么加载器又是如何对另一份独立的文件中的模块进行加载的呢?但是，当断到我们想要的目标函数时再去定位n(“”)函数哪里是显示不出来的，如图。
JS逆向实战19——通杀webpack逆向
有什么问题回复不及时，可以私聊我。也可以加我的星球：知识爬行者
06-30 3218
声明 本文章中所有内容仅供学习交流，抓包内容、敏感网址、数据接口均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关，若有侵权，请联系我立即删除！ 网站 aHR0cHM6Ly9mb2dhbmctbS5pdG91Y2h0di5jbi9tZWRpYURldGFpbC8zODc1Nw== aHR0cHM6Ly93d3cuZ205OS5jb20v webpack是什么？...
JS逆向——webpack实战
Fleehom的博客
09-27 8006
乍一看加密很简单，但是这只是body的值，而l方法的断点后续还没运行（即y.encrypt(o)还未执行，这是生成signature值的过程），我们让该方法执行完就会发现signture的值，如图。对于这种情况，根据加密参数格式以及长度，大佬就会想到常见的非对称加密，如RSA、DES、AES、DSA等等，然后就可以通过关键词搜索、DOM断点、hook方法、启动器启动等方式寻找入口，当然，我们可以根据某种方法会遇到的问题，去选择其他捷径方法作为最优解（比如异步操作导致跟栈困难等问题）。
Python爬虫，JS逆向之 webpack 打包站点原理与实战
01-07
Python爬虫，JS逆向之 webpack 打包站点原理与实战
js 逆向实战之webpack 改写
01-12
"JS 逆向实战之 Webpack 改写" 在本节中，我们将探讨 JS 逆向实战之 Webpack 改写的技术要点。Webpack 是一个流行的 JavaScript 模块加载器和打包工具，广泛应用于前端开发中。通过对 Webpack 的逆向工程和改写，...
JavaScript 逆向爬取实战
静觅
05-01 6482
“ 阅读本文大概需要 25分钟。 ”在上一节总结一些网站加密和混淆技术中，我们介绍了网页防护技术，包括接口加密和 JavaScript 压缩、加密和混淆。这就引出了一个问题，如果我们碰...
网页爬虫之WebPack模块化解密（JS逆向）
z_ipython的博客
04-26 5456
然后重写 window[“webpackJsonp”] 数组的 push( ) 方法为 webpackJsonpCallback( ),也就是说 window[“webpackJsonp”].push( ) 其实执行的是 webpackJsonpCallback( ),window[“webpackJsonp”].push( )接收三个参数,第一个参数是模块的ID,第二个参数是 一个数组或者对象,里面定义大量的函数,第三个参数是要。所有的资源都是通过JavaScript渲染出来的。
js逆向 webpack_一：webpack的基础使用
weixin_36434922的博客
12-23 597
一：webpack是什么webpack是模块化管理工具，使用webpack可以对模块进行压缩、预处理、按需打包、按需加载等。webpack的核心是一个用于现代JavaScript应用程序的静态模块打包器。当webpack处理您的应用程序时，它会在内部构建一个依赖关系图，该图可以映射项目需要的每个模块并生成一个或多个包。二：webpack有哪些重要特征1.插件化：webpack本身非常灵活，提供了...
js逆向 freightsmart航运--webpack逆向
专注于php高级知识分享
03-06 1181
声明 本文章中所有内容仅供学习交流，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关，若有侵权，请联系我立即删除！ freightsmart 登录 webpack 逆向，下面是逆向流程 网页地址：aHR0cHM6Ly9mcmVpZ2h0c21hcnQub29jbC5jb20v 1.进入网页点击右上角登录按钮，触发登录查看登录接口，如果没有账户可以注册一个。 2. 查看post 发送的参数，发现有3个参数，第一个是username 账号名称，password为登录密码，第三个参数为空，先不管，
【JS逆向】之webpack逆向实战
weixin_44504978的博客
02-22 5893
声明：本文只作学习研究，禁止用于非法用途，否则后果自负，如有侵权，请告知删除，谢谢！ 目标网站： aHR0cHM6Ly8xNTE0NjQ2LmNvbS9sb2dpbg== 引言 webpack对于有研究过人的来说就是，难度并不是很高，但是因为webpack的代码，非常的繁多，一个webpack可能就是几万行代码。运行速度自然也会受到影响，如果是普通不管运行时长的代码来说，可能无关紧要，但对于一些抢购lei软件来说，一毫秒都相当的重要。所以减少无关的代码，压缩代码时很重要的，我前面写的自吐算法就可以达到压缩和
webpack js逆向 自吐方法
09-22
webpack js逆向自吐方法是指通过一些技术手段来还原经过webpack打包后的代码结构。这可以帮助我们更好地理解和分析webpack打包后的代码，并进行优化或调试。其中，自吐方法主要包括两种：webpack自吐所有方法和webpack精减代码法。 在webpack自吐所有方法中，我们可以使用SourceMap技术来还原压缩后的代码。通过在webpack配置中启用SourceMap，webpack会生成一个映射文件，该文件包含了压缩后的代码与原始代码的对应关系。然后，我们可以借助一些工具或浏览器开发者工具，将压缩后的代码还原成可读性较好的代码。 而在webpack精减代码法中，我们可以使用一些工具或插件来进行代码精简和优化。这些工具可以删除无用代码、合并重复代码、压缩代码等操作，以减小代码体积并提高加载速度。 综上所述，通过使用SourceMap技术和代码优化工具，我们可以实现webpack js逆向自吐的方法。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值