从JS接口到拿下超级管理员权限
原文中文，约2400字，阅读约需6分钟。
📝
内容提要
文章讨论了前后端分离网站的安全测试过程，使用FindSomeThing和URLFinder等工具进行API接口提取和测试。由于JS被压缩，提取接口时遇到困难，最终通过手动和自写脚本结合的方法成功提取了API接口。
🎯
关键要点
-
文章讨论前后端分离网站的安全测试过程。
-
使用FindSomeThing和URLFinder等工具进行API接口提取和测试。
-
通过信息收集了解网站性质和使用的技术栈。
-
前后端分离架构可能导致API接口未授权的安全漏洞。
-
基本测试流程包括登录框测试和前端源码泄露检查。
-
在提取API接口时遇到JS压缩问题，导致工具无法提取接口。
-
手动和自写脚本结合的方法成功提取API接口。
-
使用自写脚本提取baseURL和API接口，最终进行批量测试。
❓
延伸问答
前后端分离网站的安全测试流程是什么？
安全测试流程包括信息收集、登录框测试、前端源码泄露检查和API接口提取与测试。
在提取API接口时遇到哪些困难？
遇到的困难包括JS被压缩导致工具无法提取接口，以及需要手动拼接baseURL和API接口。
使用哪些工具进行API接口提取和测试？
常用的工具包括FindSomeThing和URLFinder。
如何解决JS压缩对API提取的影响？
可以通过手动和自写脚本结合的方法来提取API接口。
前后端分离架构可能导致哪些安全漏洞？
如果接口鉴权未做好，可能出现API接口未授权的安全漏洞。
如何进行API接口的批量测试？
提取base路径后，将API接口作为字典放入Burp中进行批量测试。
🏷️
