Tiện ích mở rộng trình duyệt để tìm các điểm cuối web ẩn và chuỗi nhạy cảm
LoveJS, bởi n0name, là một tiện ích mở rộng trình duyệt Firefox được xây dựng cho việc khai thác lỗ hổng và khảo sát trong trình duyệt. Nó phân tích nội dung trang và mã nguồn JavaScript để hiển thị các điểm cuối API không được tài liệu hóa và các chuỗi nhúng trong quá trình kiểm tra trực tiếp. Tiện ích mở rộng này gói mở URL theo lô và một sổ tay lưu trữ cục bộ để hỗ trợ kiểm tra đa mục tiêu và ghi chú. Nhắm đến các nhà phát triển web, nhà nghiên cứu bảo mật và kiểm thử thâm nhập, nó tập trung hóa việc thu thập thông tin bên trong trình duyệt để các kiểm toán viên có thể xác minh các phát hiện mà không cần chuyển đổi công cụ.
Thông tin nhạy cảm nào mà tiện ích mở rộng này trích xuất trong quá trình kiểm toán?
LoveJS quét cả mã trang và JavaScript đã tải để đánh dấu các hiện vật cụ thể. Công cụ này tìm kiếm thông tin liên lạc và các chuỗi giống như thông tin xác thực, bao gồm địa chỉ email, số điện thoại và khóa dịch vụ đám mây (các ví dụ được ghi chú bao gồm khóa kiểu AWS và Google Cloud). Nó cũng xác định các điểm cuối API ẩn và các giao diện được chôn giấu trong các tập lệnh, tạo ra một danh sách ngắn gọn mà các kiểm toán viên có thể xem xét để xác minh tiếp theo.
LoveJS phù hợp với quy trình kiểm tra dựa trên trình duyệt như thế nào?
Tiện ích mở rộng cung cấp các cơ chế để tinh chỉnh và xác minh các điểm cuối đã phát hiện trong môi trường trình duyệt. Người dùng có thể áp dụng bộ lọc thư mục cơ sở tùy chỉnh và danh sách đen miền để tập trung kết quả, và tính năng nối URL kết hợp các giao diện đã phát hiện với các miền để kiểm tra nhanh. Tính tương thích tập trung vào Firefox, và tiện ích mở rộng có thể được cài đặt trên các trình duyệt dựa trên Chromium thông qua cài đặt thủ công. Dự án công bố mã nguồn của mình trên GitHub, cho phép kiểm tra mã và khả năng kiểm toán.
Ai được hưởng lợi từ việc sử dụng công cụ này và nó giả định chuyên môn gì?
LoveJS nhắm đến những người thực hành đã làm việc với JavaScript và các giao diện HTTP. Các nhà phát triển web thực hiện các đánh giá bảo mật, các nhà nghiên cứu bảo mật và các chuyên gia kiểm tra xâm nhập là những người hưởng lợi nhiều nhất từ việc phát hiện trong trình duyệt và xác minh hàng loạt. Sổ tay tích hợp lưu trữ ghi chú cục bộ, điều này phù hợp với những người kiểm tra giữ các hiện vật phiên trong trình duyệt. Người dùng nên mong đợi một quy trình kỹ thuật giả định sự quen thuộc với việc kiểm tra mã nguồn và xác thực điểm cuối.
Lựa chọn thực tiễn cho các kiểm toán viên kỹ thuật chấp nhận quy trình làm việc dựa trên trình duyệt
LoveJS là một lựa chọn thực tiễn cho các tester thâm nhập và nhà phát triển cần phát hiện trong trình duyệt và các phát hiện có thể tái tạo, vì nó tập trung vào việc trích xuất các đối tượng giao diện và các chuỗi giống như thông tin xác thực từ các nguồn trang và kịch bản. Nó giả định rằng người dùng thoải mái trong việc kiểm tra JavaScript và quản lý các bước xác minh dựa trên trình duyệt; các nhóm yêu cầu tự động hóa ngoài trình duyệt hoặc onboarding không kỹ thuật nên đánh giá xem một tiện ích mở rộng trình duyệt có phù hợp với quy trình của họ hay không.
