文章总结： 本文介绍利用Yakit热加载功能动态获取与修改HTTP请求及响应中JSON参数值的方法。通过poc.ExtractPostParams提取参数，结合poc.ReplaceHTTPPacketJsonBody修改数据，详细提供了beforeRequest和afterRequest钩子的脚本代码示例。同时演示了在响应中通过JQ提取器获取字段值的操作，旨在提升安全测试效率。 综合评分： 84 文章分类： WEB安全,安全工具,渗透测试

结果： 热加载在请求中获取和替换json值

打开webfuzzer模块，点击热加载

history中查看结果 热加载在响应中获取和替换json值

热加载的响应中获取JSON值，和请求中类似 需要修改的函数是

afterRequest = func(https, originReq, req, originRsp, rsp)

使用的函数没有变化。 修改完成，代码如下：

afterRequest = func(https, originReq, req, originRsp, rsp) {
    body_json, _ = poc.ExtractPostParams(rsp)
    body_json["phone"] = "13800000001"
    rsp = poc.ReplaceHTTPPacketJsonBody(rsp /*type: []byte*/, body_json /*type: map[string]any*/)

    return []byte(rsp)
}

保存，发送请求，可以看到响应中的phone值被修改 如何提取json格式的响应体的值

参考资料

• • https://www.yaklang.com/api-manual/api/poc

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：进击的HACK 进击的hack《Yakit热加载获取和修改json中的参数值》