配景
公司信安部门对项目举行安全扫描，查出一些毛病，其中有一项要求升级 javascript 框架库（如图）：
吓得我以为让我把 Vue2 升级成 Vue3。
经过一番询问后才知道，是工具包中依靠的 YUI 是存在安全毛病的版本。
毛病定位
信安同事一开始只给我上面的图，我根本不知道是哪个包的版本需要升级。
我只能用毛病标题去百度，搜到了一些同样扫出毛病的环境，多是在说下面几个工具：
- jquery 我没用这个
- js-cookie 文章说改存 localStorage（一点原理都没有）
- jsencrypt 事实证明确实是这个，但没有具体说明缘故原由
查到这里，同事也发来更详细的说明：
YUI:2.9.0 (Link) https://www.cvedetails.com/cve/CVE-2012-5883/
于是我就在打包后的代码中搜刮 YUI（不区分巨细写，不举行全字匹配），果然搜到了一段注释：
确认了这个事情，接下来就轻易多了。这显着不是我的代码，那就在 node_modules 中继续搜刮，终极在 jsencrypt 下查到了这段注释：
YUI2 的版本毛病
在网上搜刮关于 YUI 2.9.0 毛病的信息：[搜刮结果](https://www.cvedetails.com/vulnerability-
list.php?vendor_id=290&product_id=20206&version_id=496876&page=1&hasexp=0&opdos=0&opec=0&opov=0&opcsrf=0&opgpriv=0&opsqli=0&opxss=0&opdirt=0&opmemc=0&ophttprs=0&opbyp=0&opfileinc=0&opginf=0&cvssscoremin=0&cvssscoremax=0&year=0&cweid=0&order=1&trc=4&sha=c05359adb4cf42ed76bc81918a55a71d082e58a6)
结果中也包含扫描工具提供的毛病地址，该毛病指出：
在 YUI 2.8.0 - 2.9.0 中的 Flash 组件基础机构中存在 XSS 毛病，远程攻击者可以通过 SWF 程序（YUI SWF
提供了一种在网页中嵌入 Adobe Flash Player 的标准方法）注入恣意 Web 脚本或 HTML。
现在我们知道 YUI 2.9.0 这个版本确实有安全隐患，BUG 我们真的有这个毛病么 ？
YUI 在代码中的实际应用
官方介绍：YUI 是一个免费的、开源的 JavaScript 和 CSS
库，用于构建丰富的交互式 web 应用程序。
不太严谨的说，YUI 就是雷同 jquery 的一个工具库。
然后看看 jsencrypt 为啥要使用它呢？
从 node_modules\jsencrypt\lib\lib\jsrsasign\yahoo.js 的代码看，整个文件到处的只是一个包含
lang.extend 方法的对象。
lang.extend 方法模拟类的继承方式，从一个对象上扩展出领域给对象。
也就是说 jsencrypt 仅仅使用了 YUI 的 lang.extend 方法，碰都没碰 YUI SWF。
这么看尽管代码用的是 2.9.0 版本的一部门，但是这个版本的安全毛病根本影响不到项目。
解决办法
现在可以总结出：
- 毛病的缘故原由是 YUI 2.9.0 版本存在安全毛病
- 安全软件扫描的依据是注释中包含 yui 的版本号
那实在只要解决掉 YUI 版本号的这块注释即可。
方法一：使用压缩后的文件
网上搜的办法大部门是使用压缩后（不含注释）的文件：node_modules\jsencrypt\bin\jsencrypt.min.js
- // 旧的引入方式
- import JSEncrypt from 'jsencrypt'
- // 新的引入方式
- import JSEncrypt from 'jsencrypt/bin/jsencrypt.min'
我的办法是，在打包环节删除注释，全局 AOE 干掉所有注释，解决注释引发的所有标题。
包括安全扫描出的，包含外部平台链接、包含邮箱 URL（npm 作者邮箱）之类的。
我是用 Vue Cli 天生的 Vue2 版本的项目，默认打包配置中 webpack 使用了 terser （terser-webpack-
plugin）举行代码优化，直接举行配置即可。
inspect 看下默认配置：
- optimization: {
- ...
- minimizer: [
- {
- options: {
- test: /\.m?js(\?.*)?$/i,
- chunkFilter: () => true,
- warningsFilter: () => true,
- extractComments: false,
- sourceMap: false,
- cache: true,
- cacheKeys: defaultCacheKeys => defaultCacheKeys,
- parallel: true,
- include: undefined,
- exclude: undefined,
- minify: undefined,
- terserOptions: {
- output: {
- // 默认保留了 @license 注释
- comments: /^\**!|@preserve|@license|@cc_on/i
- },
- compress: {...},
- mangle: {...}
- }
- }
- }
- ]
- },
- TerserWebpackPlugin | webpack 中文文档
- terser - npmjs.com 直接搜刮 Format options
vue.config.js 增长配置：
- chainWebpack(config) {
- // 删除注释
- config.optimization.minimizer('terser').tap(args => {
- // 直接修改 terserOptions 下的属性值，保留原有配置
- // 这里访问 terserOptions 的时候并没有 output，访问不到 output.comments 需要直接赋值
- args[0].terserOptions.output = {
- comments: false,
- }
- return args
- })
- }
学习计划
那么标题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：
阶段一：初级网络安全工程师
接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你根本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。
综合薪资区间6k~15k
1、网络安全理论知识（2天）
①了解行业相关配景，远景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常紧张）
2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③毛病扫描、毛病使用、原理，使用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
3、操作体系基础（1周）
①Windows体系常见功能和下令
②Kali Linux体系常见功能和下令
③操作体系安全（体系入侵排查/体系加固基础）
4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通讯原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web毛病原理与防御：主动/被动攻击、DDOS攻击、CVE毛病复现
5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web毛病扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
那么，到此为止，已经耗时1个月左右。你已经乐成成为了一名“脚本小子”。那么你还想接着往下探索吗？
阶段二：中级or高级网络安全工程师（看本身能力）
综合薪资区间15k~30k
7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，每每需要对现有工具举行扩展，大概编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF角逐中，想要高效地使用自制的脚本工具来实现各种目标，更是需要拥有编程能力。
零基础入门的同砚，我发起选择脚本语言Python/PHP/Go/Java中的一种，对常用库举行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；
Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python焦点编程》，没必要看完
用Python编写毛病的exp,然后写一个简单的网络爬虫
PHP根本语法学习并誊写一个简单的博客体系
熟悉MVC架构，并试着学习一个PHP框架大概Python框架 (可选)
了解Bootstrap的布局大概CSS。
阶段三：顶级网络安全工程师
如果你对网络安全入门感兴趣，那么你需要的话可以点击这里 |
