———————重  要  声  明——————

本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号团队不为此承担任何责任。

关于HVV的时间，最近网上众说纷纭，有说从6月初开始，现在7月初了；也有说从6月中旬开始的，现在7月初了；也说6月底或者7月1号开始的，现在马上都7月7号；唉！各位大佬们，别猜了，"现在好不容易有了清闲时间，你们非说HVV时间，HVV加不加班我们能不知道吗？"（正常玩梗，不针对任何人！）

在渗透测试中，webpack文件泄露也同样影响着网站的安全性。

webpack常见漏洞主要如下：

1. 文件包含漏洞：Webpack的动态导入功能可能会导致远程代码执行漏洞，攻击者可以在URL中注入恶意代码。

2. 路径穿越漏洞：Webpack默认使用相对路径引入文件，若不检查文件路径，可能导致路径穿越漏洞。

3. 密码泄露漏洞：在Webpack配置文件中，可以存储敏感信息，若不妥善保管可能导致密码泄露。

有点跑题了，回到正文，在某次渗透测试中，发现网站对数据包进行了加密处理

通过调试，找到加解密位置

发现是通过调用o函数中的加解密函数进行加密和解密，向上查找o出现的位置

按常规操作，先找找t是什么函数，得到如下函数

这其实就是通过webpack加载器，加载了t(“xxx”)中的值，使用了webpack加载器的函数会有以下特征：

1.      如上图中的t(“xxx”)调用取值

2.      如以下格式函数

3.      通过浏览器插件判断

接着就是扣取webpack加载器代码了

最终格式如下

运行后便可得到加载器对应的模块，之后就是跟补普通js代码一样，缺什么模块补什么模块即可

最后结合python编写自动化加解密脚本，下班下班

如果你是一个长期主义者，欢迎加入我的知识星球，我们一起往前走，每日都会更新，精细化运营，微信识别二维码付费即可加入，如不满意，72 小时内可在 App 内无条件自助退款

前面有同学问我有没优惠券，这里发放100张100元的优惠券,用完今年不再发放

往期回顾

dom-xss精选文章

年度精选文章

Nuclei权威指南-如何躺赚

漏洞赏金猎人系列-如何测试设置功能IV

漏洞赏金猎人系列-如何测试注册功能以及相关Tips