浅谈Webpack导致的一些问题

字数统计: 849字   |   阅读时长≈ 2分

webpack的打包方便了我们，却也因为他的特性，使网站也存在了一些安全问题……

0x00 前言

Webpack 是一个前端资源加载/打包工具。它将根据模块的依赖关系进行静态分析，然后将这些模块按照指定的规则生成对应的静态资源。

img

但一般情况下所有打包的文件都会被加载，导致了泄露一些敏感信息（如敏感的path，api接口等）

image-20220707131208461.png

0x01 案例 - webpack打包加载导致后台接口未授权泄露管理员账号密码

某天EDU上了新证书，想着快人一步，立马就开始信息收集打点

image-20220707132056358.png

习惯的打开F12查找一些有用的信息，看了一下明显是前后端分离的站点用了webpack进行打包，所以我的思路是重点找未授权，鉴权不完善等问题

image-20220707132334473.png

app.js里的加载文件引起了我的注意，然后就是访问了/AdminManager，但鉴权了，记得看过一篇文章，”有些网站外部做的很好，登录后里面却出现了很多问题“

image-20220707132701224.png

然后我就去试着构造链接，去访问他加载的文件，找到了两处接口

image-20220707133217343.png

访问其中一处接口，发现未授权泄露大量普通管理员账号密码

image-20220707133423374.png

既然有了一处有问题，那么出现其他问题的概率还是很大的，看了看Cookie的存储值，看是否存在弱key的问题，其他的看起来没有这个问题，只是这个role的存储感觉有点问题

image-20220707134005003.png

最后试着改成“管理员”，发现不管有没有其他的Cookie值，都可以访问后台进行操作，而且权限极大（在写这个文章的时候洞已经修了，这里就不放图了）

0x02 案例 - webpack泄露导致的敏感路径泄露进行文件上传

眼馋上海某国语的证书，打点打点

image-20220707135120366.png

习惯的F12，发现webpack泄露

image-20220707135243027.png

这个站可以注册账号，想到了鉴权不完善的问题，然后就直接去看router目录下的内容了，可惜没有什么关于权限的，只好找了一个看起来“顺眼”的瞅了瞅

image-20220707135417756.png

去看加载的vue，果然找到了一处件上传接口

image-20220707135809943.png

然后就是构造数据包，这里虽然是白名单但是html会被防火墙拦截，但发现xml没有

image-20220707140521921.png

访问链接，alert(1)

image-20220707140803352.png

0x03 案例 - webpack泄露导致未授权文件上传

想换某济的水杯，努力打点

image-20220707141221164.png

都Vue框架了，当然还是要习惯的F12，三步一连，迅速收集

image-20220707141612774.png

没有登录（莫得某济统一账户），这个界面可以访问，试试上传一下

image-20220707141733550.png

什么后缀都没有限制，但他是前后端分离的站点，可恶

image-20220707142029423.png

访问，alert(/xss/)

image-20220707142309290.png

0x04 总结

webpack的打包方便了我们，却也因为他的特性，使网站也存在了一些安全问题...... （最后也推荐一个微信公众号：浪飒sec 欢迎关注哦）


赏

谢谢你请我吃糖果

支付宝
微信

扫一扫，分享到微信

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

俗话说“好记性不如烂笔头”，各个安全社区各自为战，当我们想要搜索某一方面的文章的时候总是得在各个平台之间来回横跳，于是乎，一个平台文章聚合搜索的想法诞生了。
然后正好我想有一个自己的博客，于是乎两者融合在了一起。
下面简单介绍各个导航的区别：
个人文章：本人的笔记、复现、总结等或者本人参与的共同创作。
收集文章：手工从公众号收集保存的文章，更新频率看本人喜好所以比较慢。
聚合文章：从各大平台收集整理，由工具实现，每天更新。
很惭愧，只做了一点微小的工作。