إضافة متصفح للعثور على نقاط نهاية الويب المخفية والسلاسل الحساسة
LoveJS، بواسطة n0name، هو ملحق لمتصفح Firefox مصمم لاستخراج الثغرات والاستطلاع داخل المتصفح. يقوم بتحليل محتوى الصفحة ومصدر JavaScript للكشف عن نقاط نهاية API غير الموثقة والسلاسل المضمنة أثناء الفحص المباشر. يجمع الملحق بين فتح URL دفعة ومفكرة تخزين محلي لدعم اختبار الأهداف المتعددة وتدوين الملاحظات. يستهدف مطوري الويب، وباحثي الأمن، ومختبري الاختراق، حيث يركز جمع المعلومات داخل المتصفح حتى يتمكن المدققون من التحقق من النتائج دون الحاجة لتبديل الأدوات.
ما هي البيانات الحساسة التي تستخرجها الإضافة أثناء التدقيق؟
يقوم LoveJS بفحص كل من ترميز الصفحة وجافا سكريبت المحملة لتحديد العناصر الملموسة. تبحث الأداة عن تفاصيل الاتصال وسلاسل تشبه بيانات الاعتماد، بما في ذلك عناوين البريد الإلكتروني، وأرقام الهواتف، ومفاتيح خدمات السحابة (تشمل الأمثلة المذكورة مفاتيح على طراز AWS وGoogle Cloud). كما تحدد نقاط النهاية وواجهات API المخفية المدفونة في السكربتات، مما ينتج عنه قائمة مختصرة يمكن للمراجعين مراجعتها للتحقق اللاحق.
كيف يتناسب LoveJS مع سير عمل الاختبار القائم على المتصفح؟
توفر الإضافة آليات لتنقيح والتحقق من نقاط النهاية المكتشفة ضمن بيئة المتصفح. يمكن للمستخدمين تطبيق فلاتر دليل أساسي مخصصة وقوائم سوداء للنطاقات للتركيز على النتائج، وميزة دمج URL تربط الواجهات المكتشفة بالنطاقات للتحقق السريع. تتركز التوافقية على Firefox، ويمكن تثبيت الإضافة على المتصفحات المعتمدة على Chromium من خلال التثبيت اليدوي. ينشر المشروع مصدره على GitHub، مما يتيح فحص الشيفرة وقابلية التدقيق.
من يستفيد من استخدام هذه الأداة وما هي الخبرة التي تفترضها؟
يستهدف LoveJS الممارسين الذين يعملون بالفعل مع جافا سكريبت وواجهات HTTP. يحصل مطورو الويب الذين يقومون بمراجعات أمنية، والباحثون في مجال الأمن، ومختبرو الاختراق على أكبر فائدة من الاكتشاف داخل المتصفح والتحقق الجماعي. يخزن دفتر الملاحظات المدمج الملاحظات محليًا، مما يناسب المختبرين الذين يحتفظون بعناصر الجلسة في المتصفح. يجب أن يتوقع المستخدمون سير عمل تقني يفترض الإلمام بفحص المصدر والتحقق من نقاط النهاية.
اختيار عملي للمراجعين الفنيين الذين يقبلون سير العمل المعتمد على المتصفح
LoveJS هو خيار عملي لمختبري الاختراق والمطورين الذين يحتاجون إلى اكتشاف داخل المتصفح ونتائج قابلة للتكرار، لأنه يركز على استخراج آثار الواجهة وسلاسل تشبه بيانات الاعتماد من مصادر الصفحة والنصوص. يفترض أن المستخدمين مرتاحون لفحص JavaScript وإدارة خطوات التحقق المعتمدة على المتصفح؛ يجب على الفرق التي تتطلب أتمتة خارج المتصفح أو إدخال غير تقني تقييم ما إذا كانت إضافة المتصفح تناسب عمليتهم.
