014-信息打点-JS架构&框架识别&泄漏提取&API接口枚举&FUZZ爬虫&插件项目

已于 2024-01-19 20:04:30 修改
阅读量1.4k 收藏 22
点赞数 25
文章标签： javascript 架构 爬虫 安全
于 2024-01-19 20:02:14 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wushangyu32335/article/details/135705997
版权
本文探讨了前端JavaScript架构，包括框架识别、敏感信息提取、API接口测试，以及使用自动化工具如Burpsuite插件、FUZZ爬虫和Packer-Fuzzer进行安全检测。还介绍了如何通过Wappalyzer和FFUF进行JS文件分析和漏洞挖掘，以确保Web应用的安全性。
摘要由CSDN通过智能技术生成

014-信息打点-JS架构&框架识别&泄漏提取&API接口枚举&FUZZ爬虫&插件项目

Untitled

Untitled

#知识点：

1、JS前端架构-识别&分析
2、JS前端架构-开发框架分析
3、JS前端架构-打包器分析
4、JS前端架构-提取&FUZZ
解决：
1、如何从表现中的JS提取价值信息
2、如何从地址中FUZZ提取未知的JS文件
3、如何从JS开放框架WebPack进行测试

#补充：

CMS（意思为“网站内容管理系统”， 用来管理网站后台，编辑网站前台。）
Discuz、WordPress、Ecshop、蝉知等
前端技术；HTML5、jquery、bootstrap、Vue等
开发语言；PHP、JAVA、Ruby、Python、C#，JS等
Web服务器；Apache、Nginx、IIS、lighttpd，Apache等
应用服务器：；Tomcat、Jboss、Weblogic、Websphere等
数据库类型：；Mysql、SqlServer、Oracle、Redis、MongoDB等
操作系统信息；Linux、windows等
应用服务信息：；FTP、SSH、RDP、SMB、SMTP、LDAP、Rsync等
CDN信息；帝联、Cloudflare、网宿、七牛云、阿里云等
WAF信息；创宇盾、宝塔、ModSecurity、玄武盾、OpenRASP等。
蜜罐信息：；HFish、TeaPot、T-Pot、Glastopf等
其他组件信息；fastjson、shiro、log4j、OA办公等

演示案例：

➢JS前端架构-手工搜索分析
➢JS前端架构-半自动Burp分析
➢JS前端架构-自动化项目分析

1、什么是JS渗透测试？

在Javascript中也存在变量和函数，当存在可控变量及函数调用即可参数漏洞
JS开发的WEB应用和PHP，JAVA,NET等区别在于即没有源代码，也可以通过浏览器的查看源代码获取真实的点。获取URL，获取JS敏感信息，获取代码传参等，所以相当于JS开发的WEB应用属于白盒测试（默认有源码参考），一般会在JS中寻找更多的URL地址，在JS代码逻辑（**加密算法，APIkey配置，验证逻辑等）**进行后期安全测试。

前提：Web应用可以采用后端或前端语言开发
后端语言：php java python .NET 浏览器端看不到真实的源代码
前端语言：JavaScript(JS)和JS框架 浏览器端看到真实的源代码
例子：
zblog：核心功能采用PHP语言去传输接受

Untitled

vue.js：核心功能采用框架语法（JS）传输接受

Untitled

Untitled

2、JS安全问题

  1. 源码泄漏
  2. 未授权访问=JS里面分析更多的URL访问确定接口路径
  3. 敏感key泄漏=JS文件中可能配置了接口信息（云应用，短信，邮件，数据库等）
  4. API接口安全=（代码中加密提交参数传递，更多的URL路径）

Untitled

3、流行的Js框架有那些？

Vue NodeJS jQuery Angular等

4、如何判定JS开发应用？

  1. 插件wappalyzer
  2. 源程序代码简短
  3. 引入多个js文件
  4. 一般有/static/js/app.js等顺序的js文件
  5. 一般cookie中有connect.sid

Untitled

5、如何获取更多的JS文件？

手工-浏览器搜索
半自动-Burpsuite插件
工具化-各类提取&FUZZ项目

6、如何快速获取价值信息？

src=
path=
method:“get”
http.get("
method:“post”
http.post("
$.ajax

http://service.httppost/
http://service.httpget/

#前端架构-手工搜索分析

浏览器全局搜索分析

  • 在网络空间等站点利用检索语句app.name="Vue.js”，查找相关为js或js框架的网站域名，并使用插件wappalyzer再次确定
  • 打开页面检查，获取数据包，点击筛选出js文件，点击ctrl+shift+f全局搜索，利用搜索关键词获取url等有关信息

Untitled

Untitled

Untitled

Untitled

#前端架构-半自动Burp分析

  • 自带功能：Target->sitemap->Engagement tools->Find scripts

Untitled

Untitled

该功能处理.js后缀的文件之外，页面中script标签的内容也会自动匹配出来。等同于右键看完当前页面的js逻辑后在接着Ctrl F 搜.js然后继续看代码，在Burp里相对方便得多。

  • 官方插件：Extender->BApp Store->JS Link Finder & JS Miner

Untitled

这个工具试图在静态文件中找到有趣的东西;主要是 JavaScript 和 JSON 文件。在评估 Web 应用程序时，它应该枚举驻留在静态文件（如 JavaScript 或 JSON 资源）中的信息。

此工具尝试帮助完成此“初始”侦察阶段，随后应手动审查/分析报告的问题。

  • 第三方插件：Extender->Extensions->HaE & Unexpected_information
  • 安装成功后出现HaE要把其中的筛选规则中的Config替换掉

Untitled

测试页面：http://weixin.chinaluo.net/login.html

Untitled

Untitled

Untitled

#前端架构-自动化项目分析

  • Jsfinder-从表现中JS中提取URL或者敏感数据
    https://github.com/Threezh1/JSFinder
    一款用作快速在网站的js文件中提取URL，子域名的工具 爬取子域名后可以一一实验是否登录获取资产
  • 使用语句：python JSFinder.py -u https://px.gtxy.cn/np/#/login

Untitled

Untitled

Untitled

Untitled

Untitled

Untitled

该工具是用于快速在网页的html源码或js代码中提取一些有趣的信息的浏览器插件，包括请求的资源、接口的url，请求的ip和域名，泄漏的证件号、手机号、邮箱等信息。

  • ffuf-FUZZ爆破找到更多的js文件分析更多的信息 功能强大的模糊化工具，用它来FUZZ模糊化js文件。
  • 语法：ffuf.exe -w js字典.txt -u https://m.xjggjy.com/FUZZ -t 200
  • https://github.com/ffuf/ffuf
  • **https://wordlists.assetnote.io/ 各种字典**
  • 使用方式，首先在寻找目标网站，通过其域名和格式去字典网站下载字典到ffuf目录下
  • 使用语法进行爆破，带对应的域名进行访问

Untitled

Untitled

Untitled

Untitled

  • Packer-Fuzzer-针对JS框架开发打包器Webpack检测
  • 语法：python packerfuzzer.py -u http://1.15.51.4/
  • 使用方式：首先利用插件获取查看杂项为Webpack的网站
    • 直接将网址粘贴至语法后面等待扫描结束
    • 在reports目标目录下，出现综合网址，word等文件
  • vm2被弃用问题：由于开代理网络无法连通

解决：关闭代理重新输入语句安装：pip3 install -r requirements.txt

Untitled

  • python-docx新版本问题cannot import name ‘OxmlElement’ from 'docx.oxml.xmlchemy’：新版本移动OxmlElement文件造成找不到

解决：在官方网站上寻找相关包发现只有源码包，于是选则使用语句：pip uninstall python-docx先卸载安装的高版本，在输入pip install python-docx==0.8.11 安装指定版本即可

Untitled

Untitled

  • https://github.com/rtcatc/Packer-Fuzzer
    一款针对Webpack等前端打包工具所构造的网站进行快速、高效安全检测的扫描工具webpack是一个打包工具，他的宗旨是一切静态资源皆可打包。有人就会问为什么要webpack？webpack是现代前端技术的基石，常规的开发方式，比如jquery,html,css静态网页开发已经落后了。现在是MVVM的时代，数据驱动界面。webpack它做的事情是，分析你的项目结构，找到JavaScript模块以及其它的一些浏览器不能直接运行的拓展语言（Scss，TypeScript等），并将其打包为合适的格式以供浏览器使用。

Untitled

Untitled

Untitled

Untitled

Untitled

Untitled

Untitled

Untitled

wusuowei2986
关注
  • 25
    点赞
  • 踩
  • 22
    收藏
    觉得还不错? 一键收藏
  • 5
    评论
docxtpl/python-docx
星际老男孩
11-26 1万+
基于docxtpl的自动化报告生成(基于word模板) 在阅读这篇文章之前，可以去看我以前写过相似的自动化报告生成文章 ps:以前在新浪博客写，然后各种被删贴后换过来这边了 基于python-docx文本生成word文档 (http://blog.sina.com.cn/s/blog_1473990d60102x4fr.html) 基于tushare文本生成word文档(http://blog.......
api-fuzz：python restful api模糊测试
02-05
IntelliFuzzTest cli测试工具安装git clone https://github.com/smasterfree/api-fuzz.gitpip install -r requirements.txt快速开始将curl请求体放进request....经常会有api接口的测试，除了正向流程的测试之外，我们经
Packer-Fuzzer软件安装初始python相关库的问题：No module named ‘node_vm2‘&&cannot import name ‘OxmlElement‘ from ‘d
wushangyu32335的博客
01-13 1770
Packer-Fuzzer软件安装初始python相关库的问题 vm2被弃用问题：由于开代理网络无法连通 python-docx新版本问题cannot import name 'OxmlElement' from 'docx.oxml.xmlchemy’：新版本移动OxmlElement文件造成找不到
Packer Fuzzer 安装报错
m0_65429684的博客
04-14 834
报错原因 最新版本升级了API。
python Word文本替换
weixin_43530064的博客
06-10 571
# encoding: utf-8 # -*- coding: UTF-8 -*- from docx import Document from docx.shared import Inches from docx.enum.text import WD_PARAGRAPH_ALIGNMENT from docx.shared import Cm, Pt from docx.oxml.ns import qn from docx.oxml.xmlchemy import OxmlElement from
解决 cannot import name ‘exml‘ from ‘lxml‘
zsdddddss的博客
09-26 309
解决cannot import name 'exml' from 'lxml'
oss-fuzz：OSS-Fuzz-开源软件的连续模糊测试
02-05
OSS-Fuzz：开源软件的连续模糊测试 是一种用于发现软件编程错误的众所周知的技术。 其中许多可检测到的错误（例如）可能会带来严重的安全隐患。 通过部署 Google已经发现了的安全漏洞和稳定性错误，我们现在希望与...
cargo-fuzz：用于模糊测试的命令行助手
02-05
cargo-fuzz 是 Rust 生态系统中的一个非常有用的工具，它是一个命令行助手，专门用于进行模糊测试（fuzzing）。模糊测试是一种自动化测试方法，通过大量随机输入来寻找软件中的漏洞和不稳定点。在 Rust 语言中，由于...
fuzz-rest-api：将基于属性的测试快速检入到REST API的模糊器中
02-05
然后监视程序是否发生异常，例如崩溃，内置代码断言失败或发现潜在的内存泄漏。 该存储库将基于属性的测试框架（称为派生到模糊系统中。 在本地运行此代码的步骤： git clone ...
seneca-fuzz:Seneca 框架的模糊测试插件
06-28
seneca-fuzztester“模糊”测试插件该模块提供了一种对各种插件进行的方法。支持/贡献请使用此 git 存储库的。 将通过拉取请求接受贡献，并在适当时附带问题。示例/用法使用 mocha/chai，可以在找到完整的示例 var ...
解决：cannot import name ‘xxx‘ from ‘xxx‘
热门推荐
Netceor的博客
07-06 2万+
官网地址：https://www.catalyzex.com/这里我选择作为Chrome插件进入 Google、ArXiv、Twitter、Github等等页面检索，如果存在匹配的代码，就会自动显示例如进入ArXiv：https://arxiv.org/任意检索内容，发现如果存在代码，将会有相关显示...
js敏感信息扫描
qq_32947907的博客
01-30 1111
在信息收集中，除了常规的方式以外，还可以从js中进行收集，一些隐藏页面往往就会隐藏在js中。从js中可以收集到一些url以及子域名的信息。有时js中还会存在跟用户认证相关的信息。下面介绍几个从js中收集敏感信息的工具。
敏感信息路径信息收集
weixin_44756468的博客
04-05 932
● Fuzz-dirbuster OWASP kali自带● Test404轻量后台扫描器+v2.0● 御剑● 破壳Web极速扫描器可以DIY修改相关字典为payload或感觉经常遇到的路径工具无论再多再好，没有一个好的字典一切都是空谈。强大字典是需要自己平时慢慢的积累。目录扫描的时候线程可以调小，防止ip被办掉当然还有另一种方法——爬虫。
Vue 3 和 SpringBoot 实现文件分片上传示例
exlink2012的专栏
07-22 456
实现分片上传，并使用Spring Boot在后端保存文件。前端将文件分片并逐个上传到后端，后端接收到所有分片后再进行合并，最终保存为一个完整文件。
HarmonyOS应用开发者高级认证，Next版本发布后最新题库 - 多选题序号4
Gusha_的博客
07-23 1168
HarmonyOS应用开发者高级认证最新题库，编写于2024年7月19日，Next版本发布之后
在Vue程序中，如何检测用户的登录状态并跳转到对应页面
最新发布
exlink2012的专栏
07-25 292
通过以上步骤，你可以在Vue应用程序中检测用户的登录状态，并在用户尝试访问受保护页面时跳转到登录页面。同时，在用户登录和登出后，你可以根据需要跳转到相应的页面。
【React 】开发环境搭建详细指南
lph159的博客
07-24 1020
无论你是刚刚开始学习 React，还是希望在现有项目中采用 React 技术，搭建一个高效的开发环境都是至关重要的。本文将详细介绍如何从零开始搭建 React 开发环境，涵盖所需的工具和最佳实践，帮助你快速启动并顺利进行开发。Visual Studio Code（VS Code）是目前最流行的代码编辑器之一，提供了丰富的扩展和强大的功能。如果你希望对项目的配置有更多的控制，可以选择手动配置 React 项目。下载并安装最新版本的 Node.js，安装 Node.js 后，npm 会自动安装。
vue如何解决跨域？
FENGZXCjjjjj的博客
07-21 542
在Vue.js项目中，当你的前端应用尝试从与自身不同源的服务器（协议、域名、端口中的任一不同）加载资源时，可能会遇到跨域（CORS, Cross-Origin Resource Sharing）问题。
thinkphp8结合layui2.9 图片上传验证
quweiie的专栏
07-21 365
thinkphp8图片上传的验证
oss-fuzz添加项目
09-05
要在OSS-Fuzz中添加一个项目，需要按照以下步骤进行操作： 1. 创建一个新的Github存储库，并将其设置为公共访问权限。在存储库中包含项目的源代码以及构建和测试脚本。 2. 在Google云平台上创建一个项目。确保该项目已启用OSS-Fuzz API，并将其链接到之前创建的Github存储库。 3. 在本地克隆OSS-Fuzz存储库，并添加您的新项目。 4. 创建一个名为"project.yaml"的文件，并在其中描述您的项目。包括项目名称、GitHub存储库的URL以及其他相关信息。 5. 提交并推送您的更改到您的Fork OSS-Fuzz存储库，并创建一个Pull Request。 6. 在OSS-Fuzz仓库中的Pull Request页面，将您的请求与OSS-Fuzz团队进行讨论，并进行其他必要的更改和修复。 7. OSS-Fuzz团队将审查并测试您的项目，并对其进行进一步处理，以确保其适合使用OSS-Fuzz进行模糊测试。 8. 一旦您的项目被接受，OSS-Fuzz将使用Google云构建和运行系统来自动化为您的项目执行模糊测试。 9. 通过监视OSS-Fuzz仪表板和错误报告，您可以查看和跟踪您的项目的模糊测试结果。 10. 如果发现漏洞或问题，可以及时回馈给OSS-Fuzz团队，以便他们可以帮助修复和改进您的项目。 通过这些步骤，您就可以将项目成功添加到OSS-Fuzz中，并利用它进行强大的模糊测试。
评论 5
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值