webpack带来的安全风险
栏目: JavaScript · 发布时间: 6年前
内容简介：最近在资产收集过程中，发现越来越多的vue应用，大部分会使用webpack进行打包，如果没有正确配置，就会导致vue源码泄露。webpack是一个JavaScript应用程序的静态资源打包器（module bundler）。它会递归构建一个依赖关系图（dependency graph）,其中包含应用程序需要的每个模块，然后将所有这些模块打包成一个或多个bundle。可以直接使用浏览器的调试模式进行查看，我们对vue的源码泄露并没有什么兴趣，感兴趣的是泄露的各种信息如API、加密算法、管理员邮箱、内部功能等等
最近在资产收集过程中，发现越来越多的vue应用，大部分会使用webpack进行打包，如果没有正确配置，就会导致vue源码泄露。
webpack是一个JavaScript应用程序的静态资源打包器（module bundler）。它会递归构建一个依赖关系图（dependency graph）,其中包含应用程序需要的每个模块，然后将所有这些模块打包成一个或多个bundle。
可以直接使用浏览器的调试模式进行查看，我们对vue的源码泄露并没有什么兴趣，感兴趣的是泄露的各种信息如API、加密算法、管理员邮箱、内部功能等等。下图泄露了全部的API。
很多vue应用都是先渲染页面再判断是否登陆，根据这个小缺陷，我们首先可以查看相关功能，或者利用Burpsuite修改验证用户的返回包，然后爬虫爬一下API，分析一下参数，偶尔会遇到没有权限验证的接口，或者会有注入、XSS之类的漏洞。
其他的文件也可以多留意一下
拼接URL,这个报错一看就是个thinkphp
构造一下请求：thinkphp5
最近的thinkphp代码执行
漏洞案例，大家根据文章和漏洞名称猜测一下思路：
-
某碑分站权限控制不当进入运维管理系统
-
某陌分站webpack配置不当进入后台
-
其他的由于还未修复，就不说了。
ref:
https://www.webpackjs.com/concepts/
https://segmentfault.com/a/1190000008961395
https://www.cnblogs.com/liemei/p/7826202.html（修复建议）
以上所述就是小编给大家介绍的《webpack带来的安全风险》，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持！
猜你喜欢:
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
算法导论（原书第3版）
Thomas H.Cormen、Charles E.Leiserson、Ronald L.Rivest、Clifford Stein / 殷建平、徐云、王刚、刘晓光、苏明、邹恒明、王宏志 / 机械工业出版社 / 2012-12 / 128.00元
在有关算法的书中，有一些叙述非常严谨，但不够全面；另一些涉及了大量的题材，但又缺乏严谨性。本书将严谨性和全面性融为一体，深入讨论各类算法，并着力使这些算法的设计和分析能为各个层次的读者接受。全书各章自成体系，可以作为独立的学习单元；算法以英语和伪代码的形式描述，具备初步程序设计经验的人就能看懂；说明和解释力求浅显易懂，不失深度和数学严谨性。 全书选材经典、内容丰富、结构合理、逻辑清晰，对本科......一起来看看 《算法导论（原书第3版）》 这本书的介绍吧!
