此篇文章来源于
V2023-1第63天课件
JS前言
在Javascript中也存在变量和函数，当存在可控变量及函数调用即可参数漏洞，JS开发应用和PHP，JAVA等区别在于即没源代码，也可通过浏览器查看源代码。获取URL，获取JS敏感信息，获取代码传参等，所以相当于JS开发的WEB应用属于白盒测试，
一般会在JS中寻找更多URL地址，（加密算法，APIkey配置，验证逻辑等）进行后期安全测试。
1、会增加攻击面（URL、接口）
2、敏感信息（用户密码、ak/sk、token/session）
3、潜在危险函数（eval、dangerallySetInnerHTML）
4、流行JS框架(寻找历史漏洞Vue、NodeJS、jQuery、Angular等)
1、作用域及堆栈
作用域：简单来说就是运行后相关的数据值
调用堆栈：简单来说就是代码执行逻辑顺序
2、常见断点调试方法
全局搜索：通过抓包参数名或URL全局搜索
流程断点：F12抓网络请求包发起程序进行断点
标签断点：F12对标签按钮事件加入断点
XHR断点：F12源代码中加入XHR断点配置
3、加密算法调用分析
4、插件结合BURP发包
1、下载phantomjs并设置环境变量
https://phantomjs.org/download.html
2、BurpSuite加载jsEncrypter插件
https://github.com/c0ny1/jsEncrypter
3、先将引用JS文件下载后，修改插件配置文件代码
4、phantomjs执行修改后的文件，插件进行连接测试
5、抓包增加参数变量进行实例测试发包
湘安无事团队 知识星球 一次付费，永久免费，享受两大内部群+星球双重福利（付费之后会拉入内部成员群，直接免费续上）。有需要的直接添加上面微信 118永久，私我支付，直接拉内部成员群，扫码支付，三天后拉内部成员群。
内部群共享
1.fofa高级会员账号
2.360quake高级会员
3.某在线高级会员靶场账号（附带wp）
4.专属内部漏洞库（持续更新）
5.原创漏洞挖掘报告
6.it课表众多好课（持续更新，内容涉及安全+开发等）
7.在线答疑，不定期直播技术分享【湘南第一深情、wuli等】
8.源码网站永久会员共享
星球介绍：
星球针对安全新人有优秀学习资源，星球专属嘉宾进行问题解答，
性价比很高。
如果你是入门不久，想要提升漏洞挖掘能力，那该星球是个不错的选择，星球内拥有
专属漏洞报告，
各种奇淫技巧、挖洞技术、专属嘉宾在线问答等。
欢迎您的加入，星球部分内容请你查看！！
星球内容介绍
星球内部提供众多好课
安全类：web安全、内网、src挖掘、kail、逆向、游戏漏洞挖掘、免杀等
开发类：python安全开发、java、Golang、php等开发课程
专栏提供内部漏洞库
专栏内容预览
扫码查看更多内容
文章引用微信公众号"WK安全",如有侵权,请联系管理员删除!
