渗透测试高级技巧（三）：被前端加密后的漏洞测试

 前文指路

渗透测试高级技巧（一）：分析验签与前端加密https://mp.weixin.qq.com/s?__biz=Mzk0MTM4NzIxMQ==&mid=2247511526&idx=1&sn=c3a661b71ad9e9108b822cec461d34e6&scene=21#wechat_redirect

渗透测试高级技巧（二）：对抗前端动态密钥与非对称加密防护https://mp.weixin.qq.com/s?__biz=Mzk0MTM4NzIxMQ==&mid=2247512499&idx=1&sn=ca603296c94cd7984f340bcd6d818779&scene=21#wechat_redirect

我们考虑以下登陆场景，在这个场景中，用户界面和服务器之间通信使用浏览器 JS 加密，前后都用 AES ECB 加密。

这个时序图展示了整个加密登录流程：

1. 用户界面到 JS 层：

   • 用户在界面输入用户名和密码

   • 数据以 JSON 格式传递给 JS 层处理

2. JS 层加密处理：

   • JS 接收到原始 JSON 数据

   • 使用 AES ECB 模式进行加密

3. 客户端到服务器传输：

   • 发送加密后的数据到服务器

4. 服务器处理：

   • 服务器接收加密数据并进行解密

   • 查询数据库获取用户信息

   • 验证用户凭据

   • 准备响应数据并进行加密

5. 服务器到客户端响应：

   • 发送加密的响应数据回客户端

6. 客户端处理响应：

   • JS 层解密服务器响应

   • 将解密后的结果显示在用户界面