记一次SRC挖掘—审计js还原隐藏接口产出2个未授权漏洞
原创
zkaq-诚信友善
zkaq-诚信友善
掌控安全EDU
2026年10月12日 12:04
江西
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
扫码领资料
获网安教程
本文由掌控安全学院 - 诚信友善 投稿
来Track安全社区投稿~
千元稿费！还有保底奖励~（ https://bbs.zkaq.cn ）****
本文所述漏洞测试流程与技术细节，仅用于网络安全领域的经验交流与防御技术研究。文中所涉及的所有系统漏洞，均已在披露前完成修复。严禁任何个人或组织将文中技术用于未授权系统的攻击、入侵或破坏行为。任何因违反此声明、擅自利用相关技术而引发的法律责任及不良后果，均由实际操作者自行承担，与本文作者及发布平台无关
测试过程总结
本次测试从一个运维系统开始，通过审计 JavaScript 中的 Chunk 映射，还原出未在首页直接加载、也未被常规插件识别的js文件，并沿着请求封装继续定位到多个隐藏接口，挖掘多个未授权漏洞
开局一个登录框，出洞漏洞全靠肝
按照正常流程把该测的功能点都测试了一遍
雪瞳和小熊猫插件识别的接口也全部都跑了一遍，没有任何产出
查看引用的js内容，发现baseURL /api ，雪瞳和小熊猫里面是没有这个baseURL /api 相关接口的，所以如果我们能找到相关接口大概率有戏
继续查看js内容，发现 Chunk 映射---类似：\"chunk-xxxxxx\":\"xxxxxx\"
计算出的完整地址：https://xxxxx.xxxxx.edu.cn/static/js/chunk-xxxxx.xxxxx.js
打开https://xxxxx.xxxxx.edu.cn/static/js/chunk-xxxxx.xxxxx.js
发现众多插件未识别出来的接口
最终恢复接口发包成功获取 全站用户名和MD5密码等敏感信息
还有一个getxxx接口是查询人员排班信息的，不过查询出的信息没什么敏感的
我们通过查询一个未来的日期，可以发现是没有排班信息的
通过savaxxx接口给两位用户写入了2099-12-31的排班信息
再次查询2099-12-31的排班信息，成功查询出刚刚写入的排班信息，证明存在未授权排班信息写入漏洞
总结
对于采用 Vue/Webpack 的系统，测试时不应该只依赖自动化插件，应该把Chunk 映射当作必查项，逐一还原隐藏模块对其中接口进行验证，或许可以发现前端未暴露但服务端缺少授权控制的未授权接口。
申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.
没看够~？欢迎关注！
分享本文到朋友圈，可以凭截图找老师领取
上千教程+工具+交流群+靶场账号哦
分享后扫码加我！
回顾往期内容
代理池工具撰写 | 只有无尽的跳转，没有封禁的IP！
点赞+在看支持一下吧~感谢看官老爷~
你的点赞是我更新的动力
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论