自学内容网 自学内容网
自学内容网 > 正文

【渗透测试】Webpack源码泄露（js.map泄露）

🕗 发布于 2024-07-11 16:07 webpack  js.map泄露  web安全  安全架构  网络安全  

一、漏洞简介

在Vue项目中使用Webpack时，如果未正确配置，会生成一个.map文件，它包含了原始JavaScript代码的映射信息。这个.map文件可以被工具用来还原Vue应用的源代码，从而可能导致敏感信息的泄露等风险

二、配置环境

  1. 安装nodejs

查看版本信息： npm -v

在这里插入图片描述

  1. 安装reverse-sourcemap

npm install -g reverse-sourcemap

在这里插入图片描述

三、js.map反编译

在目录扫描、Burpsuite数据返回包中发现存在js.map路径，下载该文件进行反编译：
reverse-sourcemap --output-dir . xxx.js.map

在这里插入图片描述

反编译后，即可查看源码JS文件结构及内容

在这里插入图片描述

通过泄露的Webpack源码，可以搜索API接口、AccessKey、Password、Phone等敏感信息

四、修复建议

  1. 禁用生成源映射文件：
    在生产环境中，应该禁用生成.map文件或者配置Webpack不生成这些文件。这可以通过在Webpack配置中设置devtool选项为false或者none来实现
    示例配置：
javascript
module.exports = {
  // 其他配置...
  devtool: false, // 或者 'none'
};
  1. 限制源映射的访问权限：
    如果无法完全禁用.map文件的生成，确保这些文件仅在需要调试时可用，并限制访问权限。
    可以通过Web服务器配置、权限设置或者在构建后删除这些文件来实现限制访问
  2. 加密或混淆源映射文件：
    对生成的.map文件进行加密或者混淆，以增加泄露后的难度。这可以通过使用专门的工具或者插件来实现

原文地址：https://blog.csdn.net/qq_48201589/article/details/140316032

免责声明：本站文章内容转载自网络资源，如侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！

相关文章

  • [java] java基础-字符串篇

    public StringJoiner(间隔符号,开始符号,结束符号)：创建一个StringJoiner对象，指定拼接时的间隔符号，开始符号，结束符号。指JDK中提供的各种功能的Java类，这些类将底

    阅读更多2025-01-24
  • 【C++笔记】哈希表底层实现的深度剖析

    哈喽，各位小伙伴大家好!上期我们讲了使用红黑树封装map和set。今天我们来讲一下哈希表底层实现的深度剖析。话不多说，我们进入正题！向大厂冲锋unordered_set的声明如下，Key就是unord

    阅读更多2025-01-24
  • 板球背后的数据魔法：如何用数据分析提升印度板球比赛策略

    随着板球赛事的数据日益增多，分析技术和方法不断进步，数据已经成为理解和预测比赛结果的核心工具。无论是通过分析球员的个人表现、球队的整体策略，还是通过实时的比赛数据预测，板球比赛的未来将更加依赖数据驱动

    阅读更多2025-01-24
  • 数据分析 six库

    six库是Python的一个兼容性库，旨在帮助开发者更轻松地编写同时兼容Python 2和Python 3的代码。它是由Ben Hoyt开发的，最初发布于2010年，并在Python社区中被广泛使用。

    阅读更多2025-01-24
  • 系统相关类——java.lang.Runtime 类（二）

    小编打算近期更俩三期类的专栏，一些常用的专集类，给大家分好类别总结和详细的代码举例解释。今天是第二个java.lang.Runtime 类我们一直都是以这样的形式，让新手小白轻松理解复杂晦涩的概念，把

    阅读更多2025-01-24
  • pandas基础：基本数据结构

    类型，而选择多列时返回的是 DataFrame 类型。这种行为是设计上的选择，目的是为了提供更灵活的数据操作方式。中，当你从DataFrame中选择列时，选择的方式会影响返回的数据类型。具体来说，选择

    阅读更多2025-01-24
  • 快慢指针及原理证明(swift实现)

    快慢指针是一种双指针技巧，常用于遍历链表或是数组。优势如下：1.线性时间复杂度：快慢指针能够在O(n)时间内完成遍历，比暴力方法更高效。2.实时处理：无需额外存储大规模数据，可以在流式日志处理中使

    阅读更多2025-01-24
  • 【数据库】详解MySQL数据库中索引的本质与底层原理

    这个过程叫寻道，所消耗的时间叫做寻道时间。答：局部性原理：当一个数据被用到时，其附近的数据被用到的概率会增大，所以操作系统为了提高效率，读取数据时往往不是按需读取，而是每次都会预读，即使只需要一个字节

    阅读更多2025-01-24
  • 如何处理langcleanupsysprepaction.dll文件的丢失与损坏问题

    在使用Windows操作系统时，有时可能会遇到一些DLL文件（动态链接库）丢失或损坏的问题，文件也不例外。这个文件虽然不像一些常见的系统DLL文件那样广为人知，但它对于某些特定的系统操作或应用程序来说

    阅读更多2025-01-24
  • Couchbase UI: Indexes

    在Couchbase中，索引的这些指标可以帮助你评估索引的性能和状态。

    阅读更多2025-01-24
自学内容网
Copyright © 2015-2025