【渗透测试】利用hook技术破解前端JS加解密 - JS-Forward
创始人
2025-01-15 03:03:37
0次

前言

在做渗透测试项目时，尤其是金融方面，经常会遇到前端JS加解密技术，看着一堆堆密密麻麻的密文，会给人一种无力感。Hook技术则会帮助我们无需获取加解密密钥的前提下，获取明文进行渗透测试

环境准备

JS-Forward
Burpsuite
Fiddler
网上公开的加解密逻辑漏洞的靶场源码
某大佬搭建的公网测试环境（请礼貌使用）：http://39.98.108.20:8085/

Hook - JS技术详解

正常访问抓包，看到数据包内容被加密，一般的话，可以通过在JS寻找密钥进行加解密，但这种方法对于渗透测试来说太消耗时间和精力。因此，hook技术能够很好的运用在JS加解密中

在这里插入图片描述

不多赘述如何确认明文点了，本文主要讲述JSForward的用法

在这里插入图片描述

生成hook参数n的payload

在这里插入图片描述

将浏览器对应的js文件下载下来，payload放在相应参数后面

在这里插入图片描述

一般浏览器替换js文件有两种方式，第一种是浏览器直接替换，简单省事，但有些时候，比如我之前参加的一个银行项目，就不允许浏览器替换js文件，就可以采用第二种方式，fiddler直接流量替换，要求清除浏览器缓存，重新加载js文件进来的同时进行替换

在这里插入图片描述

替换后为这样

在这里插入图片描述

Burp抓包，数据包变成明文，但缺点很明显，失去了真实的URL

在这里插入图片描述
备注：

Fiddler正常开启全局代理，不需要端口转发，JSForward会自动转发到8080端口，Burpsuite监听8080端口即可

上一篇：每日必看推荐！wepoke真的假的，Aapoker软件透明挂，有挂了解（2020已更新）（哔哩哔哩）

下一篇：AI、元宇宙与Web3：数字化前沿的三大核心驱动力

相关内容

热门资讯

实测交流透视挂!宝玛大厅ai智... 实测交流透视挂!宝玛大厅ai智能透视挂教程，宝玛大厅破解软件经验（本来有挂辅助）1、每一步都需要思考...
总算了解辅助器!朱雀吴江三缺一... 总算了解辅助器!朱雀吴江三缺一ai智能透视辅助挂技巧，朱雀吴江三缺一好像是有挂（有辅助挂细节）朱雀吴...
今日公布透视!九五至尊大厅ai... 今日公布透视!九五至尊大厅ai智能透视插件，九五至尊大厅有没有透视挂窍门（切实有挂技术）1、在九五至...
玩家必看科普开挂!聚闲麻将ai... 玩家必看科普开挂!聚闲麻将ai智能透视辅助挂软件，聚闲麻将总是真的有挂（有辅助挂方式）聚闲麻将能透视...
据报道开挂!旅游娱乐ai智能开... 据报道开挂!旅游娱乐ai智能开挂工具，旅游娱乐辅助工具演示（一直有挂教学）1、全新机制【旅游娱乐ai...
一分钟揭秘开挂!决胜朋来麻将a... 一分钟揭秘开挂!决胜朋来麻将ai智能透视辅助挂教程，决胜朋来麻将真是真的是有挂（有辅助挂总结）1、首...
如何分辨真伪透视!红牛ai智能... 如何分辨真伪透视!红牛ai智能透视攻略，红牛是不是有挂经验（真是有挂技术）1、操作简单，无需红牛手机...
2分钟细说辅助器!江湖大庆麻将... 2分钟细说辅助器!江湖大庆麻将ai智能透视辅助挂攻略，江湖大庆麻将竟然是真的有挂（有辅助挂头条）1、...
总算清楚透视挂!老夫子厅ai智... 总算清楚透视挂!老夫子厅ai智能透视挂技巧，老夫子厅怎么开挂课程（好像发现有挂）老夫子厅破解侠是真的...
解密关于辅助!菜鸟麻将ai智能... 解密关于辅助!菜鸟麻将ai智能透视辅助挂脚本，菜鸟麻将总是存在有挂（有辅助挂存在）1、用户打开应用后...