JS文件中的敏感信息

实战中会经常遇到很多js文件,在js文件中很可能会遇到一些敏感信息和路径之类的,遇到路径可以尝试拼接,有可能会遇到未授权的情况等等,也有很多站点是webpack打包,可以F12查看sources找到路由可以看到所有路径

image-20221011143119535.png

手工测试

也可以手工来挨个查看,右键查看源代码,点击这些js文件,ctrl+f 搜索path:或者.do .action http api password 等等,来寻找自己想要的

image-20221011143138402.png

自动化工具

https://github.com/pingc0y/URLFinder

-s 200 状态码 也可以all

-m 2 深入抓取

-o . 导出csv在当前路径

image-20221011143155369-vgkn.png image-20221011143157925.png

插件:FindSomething

image-20221011143245249.png

其他:

https://github.com/Carrypan2022/leakinfo_finder

添加spring boot actuator目录扫描以及手机号、身份证号码等敏感信息匹配

https://github.com/Threezh1/JSFinder

JSFinder获取URL和子域名

https://github.com/rtcatc/Packer-Fuzzer

支持自动模糊提取对应目标站点的API以及API对应的参数内容,未授权访问、敏感信息泄露、CORS、SQL注入、水平越权、弱口令、任意文件上传七大漏洞,最后可以生成doc pdf之类的报告

image-20221011143321854.png

Swagger接口测试

特征

Whitelabel Error Page // spring接口信息报错

favicon 小绿叶

常见漏洞:未授权访问、越权、任意文件上传、敏感信息泄露等

image-20221011143347838.png image-20221011143632757.png

常见的路径

/v2/api-docs
/swagger-ui.html
/swagger
/api/swagger
/Swagger/ui/index
/api/swaggerui
/swagger/ui
/api/swagger/ui
/api/swagger-ui.html
/user/swagger-ui.html
/libs/swaggerui
/swagger/index.html
/swagger-resources/configuration/ui
/swagger-resources/configuration/security
/api.html
/druid/index.html
/sw/swagger-ui.html
/api/swagger-ui.html
/template/swagger-ui.html
/spring-security-rest/api/swagger-ui.html
/spring-security-oauth-resource/swagger-ui.html
/swagger/v1/swagger.json
/swagger/v2/swagger.json
/api-docs
/api/doc
/docs/
/doc.html
/v1/api-docs
/v3/api-docs

一般在登录处抓包或者感觉什么地方可能会调用接口就在什么地方抓包,可以看到接口信息,然后在针对接口域名扫描

image-20221011143605597.png

细节

注意看最左上角,下拉可能不止一个接口文档

image-20221011143632757-miay.png

swagger都会给一个接口调试功能的,寻找自己想要的去调试就行,主要看看未授权之类的,如果遇到需要token之类的,可以先看网站能否注册,然后把自己的token带入到swagger顶部右上角验证,然后再去调试看能不能越权操作

再或者,注意看登录的接口,有的开发会直接把账密留在上面,如果有 一般是管理员权限,尝试登录看是否修改了密码,没修过能登陆的话就可以获取到token 在带入token就行,或者可以用账密string尝试登录,因为swagger注册处很多值都是string,有的测试为了方便,直接在swagger处创建string这个账号,然后就没有删除,导致string这个账号存留在数据库中,有可能账号权限还不低

image-20221011143645242.png

自动化工具

https://github.com/jayus0821/swagger-hack
image-20221011143700455.png

用法:

python swagger-hack2.0.py -u https://xxx/v2/api-docs
要用/v2/api-docs这个路径
最终会形成一个csv文档
建议手测,如果遇到接口处有删除的地方且存在未授权的操作,可能就会误删到一些东西
在确认好接口后再使用比较好