WEB攻防-JS项目Node.js框架安全识别审计验证绕过

知识点：

1、原生JS&开发框架-安全条件

2、常见安全问题-前端验证&未授权

详细点：

1、什么是JS渗透测试？

在JavaScript中也存在变量和函数，当存在可控变量及函数调用即可参数漏洞

2、流行的Js框架有哪些？

3、如何判定js开发应用？

        插件wappalyzer

        源代码简短

        引入多个js文件

        一般有/static/js/app.js等顺序的js文件

        cookie中有connect.sid

4、如何获取更多的js文件

        JsFinder

        Packer-Fuzzer

        扫描器后缀替换字典

5、如何快速获取价值代码

        method: "get"

        http.get("

        method: "post"

        http.post("

        $.ajax

        service.httppost

        service.httpget

演示案例：

安全条件-可控变量&特定函数

开发框架-Vulhub-Node.js安全

真实应用-APP应用直接重置密码

真实应用-违法彩彩文件上传安全