ส่วนขยายเบราว์เซอร์สำหรับค้นหาเว็บเอนด์พอยต์ที่ซ่อนอยู่และสตริงที่ละเอียดอ่อน
LoveJS, โดย n0name, เป็นส่วนขยายของเบราว์เซอร์ Firefox ที่สร้างขึ้นสำหรับการขุดช่องโหว่และการสำรวจในเบราว์เซอร์ มันวิเคราะห์เนื้อหาของหน้าและแหล่งที่มาของ JavaScript เพื่อแสดงจุดสิ้นสุด API ที่ไม่ได้เอกสารและสตริงที่ฝังอยู่ในระหว่างการตรวจสอบสด ส่วนขยายนี้รวมการเปิด URL แบบชุดและสมุดบันทึกที่เก็บข้อมูลในเครื่องเพื่อสนับสนุนการทดสอบหลายเป้าหมายและการจดบันทึก มุ่งเป้าไปที่นักพัฒนาเว็บ, นักวิจัยด้านความปลอดภัย, และผู้ทดสอบการเจาะระบบ, มันรวมศูนย์การรวบรวมข้อมูลภายในเบราว์เซอร์เพื่อให้ผู้ตรวจสอบสามารถตรวจสอบผลการค้นพบโดยไม่ต้องเปลี่ยนเครื่องมือ.
ข้อมูลที่ละเอียดอ่อนใดที่ส่วนขยายดึงข้อมูลระหว่างการตรวจสอบ?
LoveJS สแกนทั้งการทำเครื่องหมายหน้าและ JavaScript ที่โหลดเพื่อทำเครื่องหมายวัตถุที่เป็นรูปธรรม. เครื่องมือจะค้นหารายละเอียดการติดต่อและสตริงที่คล้ายกับข้อมูลประจำตัว รวมถึงที่อยู่อีเมล หมายเลขโทรศัพท์ และคีย์บริการคลาวด์ (ตัวอย่างที่กล่าวถึงรวมถึงคีย์สไตล์ AWS และ Google Cloud). นอกจากนี้ยังระบุ API endpoints ที่ซ่อนอยู่และอินเทอร์เฟซที่ฝังอยู่ในสคริปต์ สร้างรายการที่กระชับที่ผู้ตรวจสอบสามารถตรวจสอบเพื่อการตรวจสอบตามผล.
LoveJS เข้ากับเวิร์กโฟลว์การทดสอบบนเบราว์เซอร์ได้อย่างไร?
ส่วนขยายนี้ให้กลไกในการปรับแต่งและตรวจสอบ endpoints ที่ค้นพบภายในสภาพแวดล้อมของเบราว์เซอร์. ผู้ใช้สามารถใช้ตัวกรองไดเรกทอรีฐานที่กำหนดเองและรายการดำของโดเมนเพื่อมุ่งเน้นผลลัพธ์ และฟีเจอร์การเชื่อมต่อ URL จะรวมอินเทอร์เฟซที่ค้นพบกับโดเมนสำหรับการตรวจสอบอย่างรวดเร็ว ความเข้ากันได้มุ่งเน้นที่ Firefox และส่วนขยายสามารถติดตั้งบนเบราว์เซอร์ที่ใช้ Chromium ผ่านการติดตั้งด้วยตนเอง โครงการเผยแพร่ซอร์สโค้ดบน GitHub ทำให้สามารถตรวจสอบโค้ดและการตรวจสอบได้.
ใครได้รับประโยชน์จากการใช้เครื่องมือนี้และความเชี่ยวชาญใดที่มันสมมติ?
LoveJS มุ่งเป้าไปที่ผู้ปฏิบัติงานที่ทำงานกับ JavaScript และ HTTP interfaces. นักพัฒนาเว็บที่ทำการตรวจสอบความปลอดภัย นักวิจัยด้านความปลอดภัย และผู้ทดสอบการเจาะระบบได้รับประโยชน์สูงสุดจากการค้นหาในเบราว์เซอร์และการตรวจสอบแบบกลุ่ม. สมุดบันทึกในตัวเก็บบันทึกไว้ในเครื่อง ซึ่งเหมาะสำหรับผู้ทดสอบที่เก็บวัตถุเซสชันในเบราว์เซอร์ ผู้ใช้ควรคาดหวังเวิร์กโฟลว์ทางเทคนิคที่สมมติว่าคุ้นเคยกับการตรวจสอบซอร์สและการตรวจสอบ endpoints.
ทางเลือกที่ใช้งานได้จริงสำหรับผู้ตรวจสอบทางเทคนิคที่ยอมรับการทำงานที่มุ่งเน้นเบราว์เซอร์
LoveJS เป็นตัวเลือกที่ใช้งานได้จริงสำหรับผู้ทดสอบการเจาะระบบและนักพัฒนาที่ต้องการการค้นพบในเบราว์เซอร์และผลลัพธ์ที่สามารถทำซ้ำได้ เนื่องจากมุ่งเน้นไปที่การดึงข้อมูลจากส่วนติดต่อและสตริงที่คล้ายกับข้อมูลประจำตัวจากแหล่งที่มาของหน้าและสคริปต์ มันถือว่าผู้ใช้สบายใจในการตรวจสอบ JavaScript และจัดการขั้นตอนการตรวจสอบที่ใช้เบราว์เซอร์; ทีมที่ต้องการการทำงานอัตโนมัติที่นอกเบราว์เซอร์หรือการเริ่มต้นที่ไม่ใช่ทางเทคนิคควรประเมินว่าการขยายเบราว์เซอร์เหมาะสมกับกระบวนการของพวกเขาหรือไม่.
