自学内容网 自学内容网
自学内容网 > 正文

【渗透测试】Webpack源码泄露（js.map泄露）

🕗 发布于 2024-07-11 16:07 webpack  js.map泄露  web安全  安全架构  网络安全  

一、漏洞简介

在Vue项目中使用Webpack时，如果未正确配置，会生成一个.map文件，它包含了原始JavaScript代码的映射信息。这个.map文件可以被工具用来还原Vue应用的源代码，从而可能导致敏感信息的泄露等风险

二、配置环境

  1. 安装nodejs

查看版本信息： npm -v

在这里插入图片描述

  1. 安装reverse-sourcemap

npm install -g reverse-sourcemap

在这里插入图片描述

三、js.map反编译

在目录扫描、Burpsuite数据返回包中发现存在js.map路径，下载该文件进行反编译：
reverse-sourcemap --output-dir . xxx.js.map

在这里插入图片描述

反编译后，即可查看源码JS文件结构及内容

在这里插入图片描述

通过泄露的Webpack源码，可以搜索API接口、AccessKey、Password、Phone等敏感信息

四、修复建议

  1. 禁用生成源映射文件：
    在生产环境中，应该禁用生成.map文件或者配置Webpack不生成这些文件。这可以通过在Webpack配置中设置devtool选项为false或者none来实现
    示例配置：
javascript
module.exports = {
  // 其他配置...
  devtool: false, // 或者 'none'
};
  1. 限制源映射的访问权限：
    如果无法完全禁用.map文件的生成，确保这些文件仅在需要调试时可用，并限制访问权限。
    可以通过Web服务器配置、权限设置或者在构建后删除这些文件来实现限制访问
  2. 加密或混淆源映射文件：
    对生成的.map文件进行加密或者混淆，以增加泄露后的难度。这可以通过使用专门的工具或者插件来实现

原文地址：https://blog.csdn.net/qq_48201589/article/details/140316032

免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！

相关文章

  • 「QT」文件类 之 QTemporaryDir 临时目录类

    QTemporaryDir类是Qt框架中用于创建和管理临时目录的类。它提供了一个便捷且安全的方式来生成唯一的临时目录，这些目录通常用于存储临时文件或子目录，以便在程序运行期间进行临时存储或处理。QTe

    阅读更多2024-11-16
  • 【c++笔试强训】（第五篇）

    因此，Fibonacci数列就形如：0, 1, 1, 2, 3, 5, 8, 13, ...，在Fibonacci数列中的数我们称为Fibonacci数。给你一个N，你想让其变为一个Fibonacci

    阅读更多2024-11-16
  • vue2 动态路由的实现

    一般情况下，路由都是前端约定好的，但是每当项目发布上线，或者客户需求新的页面的时候，都需要做出路由改变。这样运维就可以现场支持，方便做出可操作的中户中台，来管理我们的中心项目登录及权限，路由等方面；注

    阅读更多2024-11-16
  • 算法导论第二章

    从今天开始会陆续更新关于算法导论的啃书相关文章，先从前往后而且比较常用的章节开始讲起，所以可能会有部分不怎么用的着的章节会跳过。由于第一章没讲什么具体内容，所以选择跳过从第二章开始讲起。

    阅读更多2024-11-16
  • 生成式GPT商品推荐：精准满足用户需求

    随着人工智能（AI）技术的飞速发展，电商平台正在逐步迎来一场前所未有的变革。尤其是生成式GPT（Generative Pre-trained Transformer）技术的应用，正在重新定义电商平台如

    阅读更多2024-11-16
  • 【机器学习基础】西瓜书阅读笔记task01

    机器学习：研究如何通过计算的手段，利用经验来改善系统自身的性能计算机系统中，经验通常以数据形式存在。机器学习研究的主要内容：计算机从数据中产生模型的算法，即“学习算法”把经验（经验数据）提供给这个算法

    阅读更多2024-11-16
  • 卷积神经网络之Yolo详解

    IoU用于衡量预测框与真实框的重叠程度，是目标检测中的基础评估指标。置信度反映了模型对于其预测框包含物体的信心。精确率衡量了预测为目标的框中，实际是目标的比例。召回率衡量了模型能够找到的真实目标的比例

    阅读更多2024-11-16
  • ssm092基于Tomcat技术的车库智能管理平台+jsp(论文+源码)_kaic

    它将程序数据通过使用不同的数据表格进行保存，在增加了程序数据的存储速度的时候，也提高了数据库的灵活性。当前需要开发的程序软件是根据当下的用户需求进行设计开发的，但是随着时间的推移，社会大环境的改变，开

    阅读更多2024-11-16
  • vue3初始项目结构与分析

    时隔多年再次学习vue，单纯学习刚创立好的项目分析其结构与运作方式，掌握了基础才能在工作中延申。

    阅读更多2024-11-16
  • 理解 C++ 中的 `const` 关键字

    const关键字在 C++ 中的使用是良好的编程实践。它能提高代码的安全性、可读性，并帮助优化编译器的性能。为了防止逻辑错误和性能问题，建议在可能的情况下尽量使用const。通过对比其他编程语言，可以

    阅读更多2024-11-16
自学内容网
Copyright © 2015-2024