可領全套安全課程、配套攻防靶場

最近在資產收集過程中，發現越來越多的vue應用，大部分會使用webpack進行打包，如果沒有正確配置，就會導致vue源碼洩露。

webpack是一個JavaScript應用程序的靜態資源打包器（module bundler）。

它會遞歸構建一個依賴關係圖（dependency graph）,其中包含應用程序需要的每個模塊，然後將所有這些模塊打包成一個或多個bundle。

可以直接使用瀏覽器的調試模式進行查看，我們對vue的源碼洩露並沒有什麼興趣，感興趣的是洩露的各種信息如API、加密算法、管理員郵箱、內部功能等等。

下圖洩露了全部的API。

很多vue應用都是先渲染頁面再判斷是否登陸，根據這個小缺陷

我們首先可以查看相關功能，或者利用Burpsuite修改驗證用戶的返回包，然後爬蟲爬一下API，分析一下參數，偶爾會遇到沒有權限驗證的接口，或者會有注入、XSS之類的漏洞。

其他的文件也可以多留意一下

拼接URL,這個報錯一看就是個thinkphp

構造一下請求：thinkphp5

最近的thinkphp代碼執行

漏洞案例，大家根據文章和漏洞名稱猜測一下思路：-

• 某碑分站權限控制不當進入運維管理系統
• 某陌分站webpack配置不當進入後臺
• 其他的由於還未修復，就不說了。

ref:

https://www.webpackjs.com/concepts/

https://segmentfault.com/a/1190000008961395

https://www.cnblogs.com/liemei/p/7826202.html（修復建議）

轉載註明：https://www.secpulse.com/archives/96416.html

今天你知道了嗎？

加群，黑客技術大咖在線解答(群號評論區見)

閱讀更多 暗網視界 的文章

關鍵字: 或者 黑客 瀏覽器