专栏首页ChaMd5安全团队webpack带来的安全风险

webpack带来的安全风险

招新小广告

ChaMd5 ctf组 长期招新

尤其是reverse+pwn+合约的大佬

欢迎联系admin@chamd5.org

最近在资产收集过程中,发现越来越多的vue应用,大部分会使用webpack进行打包,如果没有正确配置,就会导致vue源码泄露。

webpack是一个JavaScript应用程序的静态资源打包器(module bundler)。它会递归构建一个依赖关系图(dependency graph),其中包含应用程序需要的每个模块,然后将所有这些模块打包成一个或多个bundle。

可以直接使用浏览器的调试模式进行查看,我们对vue的源码泄露并没有什么兴趣,感兴趣的是泄露的各种信息如API、加密算法、管理员邮箱、内部功能等等。下图泄露了全部的API。

很多vue应用都是先渲染页面再判断是否登陆,根据这个小缺陷,我们首先可以查看相关功能,或者利用Burpsuite修改验证用户的返回包,然后爬虫爬一下API,分析一下参数,偶尔会遇到没有权限验证的接口,或者会有注入、XSS之类的漏洞。

其他的文件也可以多留意一下

拼接URL,这个报错一看就是个thinkphp

构造一下请求:thinkphp5

最近的thinkphp代码执行

漏洞案例,大家根据文章和漏洞名称猜测一下思路:

某碑分站权限控制不当进入运维管理系统

某陌分站webpack配置不当进入后台

其他的由于还未修复,就不说了。

ref:

https://www.webpackjs.com/concepts/

https://segmentfault.com/a/1190000008961395

https://www.cnblogs.com/liemei/p/7826202.html(修复建议)

本文来自 ChaMd5安全团队,文章内容以思路为主。

如需转载,请先联系ChaMd5安全团队授权。

未经授权请勿转载。

本文分享自微信公众号 - ChaMd5安全团队(chamd5sec)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2019-01-31

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • BBS论坛(二十四)

    zhang_derek
  • BBS论坛(二十二)

     现在点击“添加图片”,上传成功后,在图片的input框里面会显示图片的地址,并且图片存到你的七牛空间里面。

    zhang_derek
  • 聊聊flink的Execution Plan Visualization

    本文主要研究一下flink的Execution Plan Visualization

    codecraft
  • Javascript基础回顾 之(一) 类型

      本来是要继续由浅入深表达式系列最后一篇的,但是最近团队突然就忙起来了,从来没有过的忙!不过喜欢表达式的朋友请放心,已经在写了:) 在工作当中发现大家对Jav...

    用户1153966
  • 通过RKE 安装kubernetes

    可以配置多条,以数组的形式编写,地址需要添加协议头。编辑/etc/docker/daemon.json加入以下内容

    张琳兮
  • BBS论坛(八)

    zhang_derek
  • BBS论坛(二十一)

    zhang_derek
  • python基础知识——函数

    在Python中,任何的变量都是对象,所以参数只支持引用传递的方式,在这样的情况下,形式参数和实际参数都指向的是内存中的同一个存储空间。

    zhaozhiyong
  • 页面彈出各种窗口詳解

    一、 基本变化 <SCRIPT LANGUAGE="javascript"> <!-- window.open ('page.html', 'neww...

    阿新
  • 对Javascript 类、原型链、继承的理解

      和其他面向对象的语言(如Java)不同,Javascript语言对类的实现和继承的实现没有标准的定义,而是将这些交给了程序员,让程序员更加灵活地(当然刚开始...

    smy

扫码关注云+社区

领取腾讯云代金券