挖洞思路：前端源码泄露漏洞并用source map文件还原
0x01漏洞简介
webpack是一个JavaScript应用程序的静态资源打包器（module bundler）。它会递归构建一个依赖关系图（dependency graph）,其中包含应用程序需要的每个模块，然后将所有这些模块打包成一个或多个bundle。大部分Vue应用会使用webpack进行打包，如果没有正确配置，就会导致Vue源码泄露，可能泄露的各种信息如API、加密算法、管理员邮箱、内部功能等等。
0x02 漏洞复现
找到含.map的js页面 进入到一个*.js的页面查看源码： 选一个点进去拉到最下面： 后缀加上.map访问https://xxx.js.map
会直接下载app.91c9e19843b6a38f9ff5.js.map
0x03 source map文件还原
reverse-sourcemap
这个工具，两年前发布的，居然文件和目录都能全部还原出来，牛逼。
全局安装
npm install --global reverse-sourcemap
然后（ -o 后面跟的是还原后的目录）
reverse-sourcemap -o aaa -v app.9fbea7c7.js.map
0x04 检测插件
SourceDetector是一个谷歌浏览器插件，此插件可以自动的判断网站是否存在js.map文件，并且能够利用该插件直接下载到js.map的Vue源码
git clone https://github.com/LuckyZmj/SourceDetector-dist
提示： 如果此命令下载失败，可直接访问https://github.com/LuckyZmj/SourceDetector-dist下载.zip文件： 然后解压，谷歌浏览器添加扩展程序（注意是添加文件中的dist文件夹）
0x05 漏洞修复
-
在项目路径下修改config/index.js中build对象productionSourceMap: false； 建议删除或禁止访问正式环境中的js.map文件；
