搜索

[18634] 2021-07-25_burp前端加密插件

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-07-25_burp前端加密插件 b u r p 前 端 加 密 插 件 原 创   R a i n S o n g   h e r e 4 0 4   2 0 2 1 - 0 7 - 2 5 收 录 于 话 题   # b u r p 精 进   , 4 个 0 x 0 0   插 件 背 景 插 件 背 景 现 在 随 着 开 发 方 面 的 安 全 意 识 提 高 ， 很 多 w e b 应 用 都 采 取 了 加 密 措 施 。 同 时 也 存 在 大 量 的 前 端 加 密 合 理 ， 仍 存 在 安 全 缺 陷 的 系 统 。 本 次 结 合 某 测 试 过 程 中 遇 到 的 实 际 案 例 分 享 一 款 插 件 ， 该 插 件 使 用 p h a n t o m j s 启 动 前 端 加 密 函 数 对 数 据 进 行 加 密 ， 方 便 对 加 密 数 据 输 入 点 进 行 f u z z ， 比 如 可 以 使 用 于 前 端 加 密 传 输 爆 破 等 场 景   。 要 求 使 用 者 能 够 看 懂 前 端 的 j s 逻 辑 ， 并 有 一 定 的 修 改 能 力 。 具 体 插 件 地 址 如 下 ： h t t p s : / / g i t h u b . c o m / c 0 n y 1 / j s E n c r y p t e r 0 x 0 1   实 际 案 例 实 际 案 例 某 个 系 统 登 录 ， 抓 包 ， 发 现 整 个 数 据 包 进 行 了 加 密 ， 无 法 直 接 针 对 报 文 处 理 。 观 察 一 下 登 录 页 面 没 有 图 形 验 证 码 等 校 验 手 段 ， 因 此 猜 测 分 析 数 据 包 加 密 手 段 后 ， 可 进 行 重 放 爆 破 ， 发 现 账 号 密 码 。 浏 览 器 f 1 2 ， 打 开 调 试 窗 口 ， 分 析 前 端 代 码
非 常 友 好 ， c o n s o l e 已 经 将 数 据 打 印 出 来 了 ， 在 c o n s o l e 窗 口 此 时 为 了 方 便 调 试 ， 可 以 在 5 1 行 添 加 断 点 ， 使 得 控 制 台 在 当 前 变 量 上 下 文 中 ， 可 以 获 取 通 过 l e t 赋 值 的 变 量 ， 深 入 调 试 直 接 复 现 加 密 流 程 。 0 x 0 2   插 件 使 用 插 件 使 用 经 过 上 文 部 分 分 析 ， 可 知 该 插 件 完 美 契 合 案 例 环 境 。 从 g i t 地 址 ， 下 载 插 件 ， 并 在 b u r p 完 成 配 置 ， 接 下 来 需 要 修 改 插 件 s e r v e r 端 代 码 ， 并 启 动 插 件 。 首 先 下 载 系 统 使 用 的 j s 加 密 文 件 ， 并 引 入 到 p h a n t o m j s _ s e r v e r . j s 文 件 中 。
修 改 p a y l o a d 处 理 函 数 启 动 s e r v e r 端 ， 并 在 b u r p 中 连 接 后 测 试 跟 上 述 复 现 加 密 过 程 所 得 到 密 文 一 直 ， 确 认 方 案 无 问 题 。 0 x 0 3   执 行 爆 破 执 行 爆 破 观 察 到 系 统 加 密 算 法 是 对 整 个 账 密 j s o n 进 行 处 理 的 ， 所 以 需 要 先 期 处 理 一 下 密 码 等 ， 较 为 直 观 的 方 式 直 接 在 编 辑 器 处 理 ， 得 到 可 以 直 接 使 用 的 字 符 串 ， 直 接 加 载 b u r p 使 用 。
之 后 在 p r o c e s s i n g 窗 口 选 择 如 下 配 置 执 行 爆 破
或 者 也 可 以 使 用 b u r p 构 造 p a y l o a d 时 候 的 c u s t o m     i t e r a t o r 模 式 ， 进 行 拼 接 。 p o s i t i o n   1   为 空   分 隔 符 为 { " u s e r " : " a d m i n " , " p w d " : " ， p o s i t i o n   2   选 择 密 码 字 典 ， 分 割 符 为 " }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理