HacKerQWQ的博客空间

source map源码泄露利用

源码泄露
Word count: 241Reading time: 1 min
2022/09/21 Share

webpack简介

webpack是一个JavaScript应用程序的静态资源打包器（module bundler）。它会递归构建一个依赖关系图（dependency graph）,其中包含应用程序需要的每个模块，然后将所有这些模块打包成一个或多个bundle。大部分Vue应用会使用webpack进行打包，如果没有正确配置，就会导致Vue源码泄露，可能泄露的各种信息如API、加密算法、管理员邮箱、内部功能等等。

漏洞利用

当看到js中包含sourceMappingURL时

image-20220921231536907

访问URL即可得到js.map文件

image-20220921231705214

解密

使用nodejs的reverse-sourcemap

1
npm install --global reverse-sourcemap

还原目录

1
reverse-sourcemap -o aaa -v app.9fbea7c7.js.map
  • aaa为输出的目录

自动探测插件

项目地址：

https://github.com/LuckyZmj/SourceDetector-dist

工具介绍：

作为Chrome插件，随时检测是否有js.map源码，并且自动访问以供下载

工具使用：

正常访问网页即提醒源码泄露

image-20220921232228599

Author：HacKerQWQ

原文链接：https://hackerqwq.github.io/2022/09/21/source-map%E6%BA%90%E7%A0%81%E6%B3%84%E9%9C%B2%E5%88%A9%E7%94%A8/

发表日期：September 21st 2022, 11:24:09 pm

更新日期：September 21st 2022, 11:25:23 pm

版权声明：本文采用知识共享署名-非商业性使用 4.0 国际许可协议进行许可

CATALOG
  1. 1. webpack简介
  2. 2. 漏洞利用
    1. 2.1. 解密
  3. 3. 自动探测插件
Total : 163
2023
2022
2021
2020
ctf PHP反序列化 sql jwt 2021CISCN 文件上传 uncide欺骗 无列名注入 php反射类利用 2021红明谷 输入法取证 盲水印隐写 哈夫曼编码 流量分析 Android md5 shtml 2020CISCN png结构 CRC32 Crypto Java安全 intro 权限提升 Docker CVE Hash php_upload_progress_session hash长度拓展攻击 红蓝对抗 MySQL PHP代码审计 PHP 2021Nep 命令执行 PHP原生类 云函数 JAVA_WEB ThinkPHP 原型链污染 nodejs 源码泄露 SSTI 漏洞分析 渗透测试 代码审计 JAJA XML 漏洞 免杀 机器学习 XSS XXE 硬件安全 社工 编码漏洞 nginx常见文件位置 .htaccess利用 HTTP协议 内网渗透 横向移动 漏洞利用 metasploit 信息收集 CTF PHP伪协议 php pickle 逻辑漏洞 2019CISCN python 多线程 misc图像处理 Nginx LFI redis攻防 提权 C 代码执行 渗透 权限维持 bugs phar反序列化 变量覆盖漏洞 扫描软件 弱类型比较 Django rar伪加密 二维码 文件上传漏洞 文件包含 文件读取漏洞 无参数构造payload 神经网络 红队 SSRF url取反绕过 misc_zip create_function注入 零宽度字符