信息泄露思路（js文件包含json路径）

正文

在做测试的目标时，一定要搜索前端 JavaScript 文件里出现的“.json”路径，尤其是 /assets/mock/、/test/、/fixtures/ 等目录，因为开发或测试人员可能遗留了真实测试数据文件，其中可能包含 PII（个人隐私信息）、API 密钥、Token、内部接口结构等敏感信息。

举个例子:

打包后的前端 JS 往往会包含：

fetch("/assets/mock/user.json") axios.get("/mock/order-detail.json")

这些路径直接告诉你服务器上存在未受保护的 JSON 文件。

Mock JSON 文件经常包含真实敏感数据

• 测试账号邮箱

• 用户姓名、手机号

• JWT token

• 内部接口结构

• AWS key / Stripe key

• 内网 URL

这些文件通常未加访问控制 直接浏览器访问即可下载：

https://target.com/assets/mock/users.json

这是低成本高回报的漏洞点

场景一：泄露真实用户信息