**测试过程总结**

本次测试从一个运维系统开始，通过审计 JavaScript 中的 Chunk 映射，还原出未在首页直接加载、也未被常规插件识别的js文件，并沿着请求封装继续定位到多个隐藏接口，挖掘多个未授权漏洞

开局一个登录框，出洞漏洞全靠肝

![图片](/media/202610/ca46a2c624214c9aaecc2e0524fec0842293.png)

按照正常流程把该测的功能点都测试了一遍

雪瞳和小熊猫插件识别的接口也全部都跑了一遍，没有任何产出

![图片](/media/202610/a800a2300fde49d8a6de69610954121e2919.png)

查看引用的js内容，发现baseURL /api   ，雪瞳和小熊猫里面是没有这个baseURL /api 相关接口的，所以如果我们能找到相关接口大概率有戏

![图片](/media/202610/9e0cd4396dca4439bfd578df519dfb364280.png)

继续查看js内容，发现 Chunk 映射---类似：`"chunk-xxxxxx":"xxxxxx"`

计算出的完整地址：https://xxxxx.xxxxx.edu.cn/static/js/chunk-xxxxx.xxxxx.js

![图片](/media/202610/ee526812e71a4bbfa7f9631e937895859900.png)

打开https://xxxxx.xxxxx.edu.cn/static/js/chunk-xxxxx.xxxxx.js

发现众多插件未识别出来的接口

![图片](/media/202610/ba5604d768924a75ad0fb837916000a65872.png)

最终恢复接口发包成功获取 全站用户名和MD5密码等敏感信息

![图片](/media/202610/469215a0fcc54edaa2a8d2f6a76b6fd68558.png)

还有一个getxxx接口是查询人员排班信息的，不过查询出的信息没什么敏感的

我们通过查询一个未来的日期，可以发现是没有排班信息的

![图片](/media/202610/af9401c41d6047b3b9115f39657d5e386167.png)

通过savaxxx接口给两位用户写入了2099-12-31的排班信息

![图片](/media/202610/e09afc476c4045dd8694f75fb2f7d5011623.png)

再次查询2099-12-31的排班信息，成功查询出刚刚写入的排班信息，证明存在未授权排班信息写入漏洞

![图片](/media/202610/7c9fb277c0324eb7b9e545d7dc2bd8633223.png)

总结

对于采用 Vue/Webpack 的系统，测试时不应该只依赖自动化插件，应该把Chunk 映射当作必查项，逐一还原隐藏模块对其中接口进行验证，或许可以发现前端未暴露但服务端缺少授权控制的未授权接口。

审计JS接口未授权漏洞