【渗透测试】利用hook技术破解前端JS加解密 - JS-Forward
创始人
2025-01-15 03:03:37
0次

前言

在做渗透测试项目时，尤其是金融方面，经常会遇到前端JS加解密技术，看着一堆堆密密麻麻的密文，会给人一种无力感。Hook技术则会帮助我们无需获取加解密密钥的前提下，获取明文进行渗透测试

环境准备

JS-Forward
Burpsuite
Fiddler
网上公开的加解密逻辑漏洞的靶场源码
某大佬搭建的公网测试环境（请礼貌使用）：http://39.98.108.20:8085/

Hook - JS技术详解

正常访问抓包，看到数据包内容被加密，一般的话，可以通过在JS寻找密钥进行加解密，但这种方法对于渗透测试来说太消耗时间和精力。因此，hook技术能够很好的运用在JS加解密中

在这里插入图片描述

不多赘述如何确认明文点了，本文主要讲述JSForward的用法

在这里插入图片描述

生成hook参数n的payload

在这里插入图片描述

将浏览器对应的js文件下载下来，payload放在相应参数后面

在这里插入图片描述

一般浏览器替换js文件有两种方式，第一种是浏览器直接替换，简单省事，但有些时候，比如我之前参加的一个银行项目，就不允许浏览器替换js文件，就可以采用第二种方式，fiddler直接流量替换，要求清除浏览器缓存，重新加载js文件进来的同时进行替换

在这里插入图片描述

替换后为这样

在这里插入图片描述

Burp抓包，数据包变成明文，但缺点很明显，失去了真实的URL

在这里插入图片描述
备注：

Fiddler正常开启全局代理，不需要端口转发，JSForward会自动转发到8080端口，Burpsuite监听8080端口即可

上一篇：每日必看推荐！wepoke真的假的，Aapoker软件透明挂，有挂了解（2020已更新）（哔哩哔哩）

下一篇：AI、元宇宙与Web3：数字化前沿的三大核心驱动力

相关内容

热门资讯

重磅来袭辅助!葫芦鱼辅助透视挂... 重磅来袭辅助!葫芦鱼辅助透视挂，欢乐赣游GZ是真的有外挂，一贯有挂神器进入游戏-大厅左侧-新手福利-...
六分钟了解辅助!永利娱乐辅助透... 六分钟了解辅助!永利娱乐辅助透视挂，蜂娱棋牌2真的有外挂，都是有挂功能1、这是跨平台的蜂娱棋牌2轻量...
实测分享透视挂!91y游戏中心... 实测分享透视挂!91y游戏中心辅助透视挂，越乡游绍兴麻将存在有外挂，本来有挂实锤1、91y游戏中心脚...
分享给玩家辅助!明水麻将辅助透... 分享给玩家辅助!明水麻将辅助透视挂，双盈休闲真的有外挂，本来确实有挂小薇（辅助器软件下载）致您一封信...
推荐十款开挂!嘴子娱乐辅助透视... 推荐十款开挂!嘴子娱乐辅助透视挂，四川游戏家园确实有外挂，总是的确有挂四川游戏家园辅助器是一种具有地...
来临辅助!四川游戏家园辅助透视... 来临辅助!四川游戏家园辅助透视挂，潘潘讲故事是真的有外挂，好像有挂方略来临辅助!四川游戏家园辅助透视...
程序员教你辅助!泡泡鱼辅助透视... 程序员教你辅助!泡泡鱼辅助透视挂，四方河南麻将真的是有外挂，确实有挂助手泡泡鱼破解侠是真的助透视。每...
一分钟了解辅助!微乐江西麻将辅... 一分钟了解辅助!微乐江西麻将辅助透视挂，东台麻将真的是有外挂，一直了解有挂小薇（辅助器软件下载）致您...
重大通报透视挂!九尾大厅辅助透... 重大通报透视挂!九尾大厅辅助透视挂，云阙麻将存在有外挂，一贯有挂讲解1、九尾大厅辅助器安装包、九尾大...
关于透视挂!樱花梦雨辅助透视挂... 关于透视挂!樱花梦雨辅助透视挂，瑞星游戏是有外挂，原来有挂方针1、下载好瑞星游戏透视辅助下载之后点击...