文章总结： JShunter是一款Go编写的终端JS文件分析器，可一键提取接口、硬编码密钥及潜在漏洞，支持单文件/URL列表/管道输入、多线程并发与代理池，输出可直接导入Burp、xray，适合红队外围快速梳理JS攻击面。 综合评分： 82 文章分类： 安全工具,WEB安全,红队,渗透测试
JShunter | JS 文件终端分析神器 —— 一键提取接口、硬编码密钥与潜在漏洞
菜狗 菜狗
只会看监控的实习生
2026年1月19日 08:36 广东
🎯 JShunter | JS 文件终端分析神器 —— 一键提取接口、硬编码密钥与潜在漏洞
支持单文件 / URL 列表 / 管道输入，多线程并发 + 代理池 + 正则过滤，输出可直接导入 Burp 或 xray。 适合开发者、漏洞挖掘、红队外围快速梳理 JS 攻击面。
⚡ 快速安装
go install -v github.com/cc1a2b/jshunter@latest
🌟 核心能力
| 功能 | 说明 | | — | — | | 接口自动提取 | 正则匹配 REST/GraphQL/WebSocket 等 URL，支持自定义过滤 | | 敏感数据发现 | 硬编码 APIKey、Secret、Token、ak/sk、JWT 等 20+ 类密钥 | | 多输入源 | 单 URL / 文件列表 / 管道 stdin，灵活接入任何工作流 | | 高并发 | 默认 5 线程，可自定义；支持代理池、Cookie 认证 | | 结果落地 | 可保存 TXT/JSON，无缝对接 Burp、xray、nuclei |
🚀 一行命令上手
# 1. 管道流（最常用）
cat urls.txt | grep "\.js" | jshunter -o result.txt
# 2. 单文件远程分析
jshunter -u "https://example.com/app.js" -p 127.0.0.1:8080 -c "session=xxx"
# 3. 本地 JS 文件
jshunter -f app.js --ep -r "api/v\d+" -o api.txt
# 4. URL 列表批量
jshunter -l jsurls.txt -t 10 --skip-tls -q
📖 参数速查（中文）
| 短参 | 长参 | 说明 |
| — | — | — |
| -u | --url | 远程 JS URL |
| -l | --list | 本地 URL 列表文件 |
| -f | --file | 本地 JS 文件路径 |
| -t | --threads | 线程数（默认 5） |
| -c | --cookies | Cookie 头，例：token=abc |
| -p | --proxy | 代理，例：127.0.0.1:8080 |
| -r | --regex | 自定义正则过滤接口 |
| -o | --output | 输出文件 |
| -nc | --no-color | 关闭彩色输出 |
| -q | --quiet | 不打印 Banner |
| --ep | | 仅提取端点（不扫密钥） |
| --skip-tls | | 跳过证书验证 |
| --up | --update | 一键更新到最新版 |
| -h | --help | 查看帮助 |
🎨 实战输出示例
$ jshunter -u https://example.com/js/app.js --ep -o api.txt
[+] 提取接口 43 条
https://api.example.com/v1/user/info
wss://gateway.example.com/socket
https://graphql.example.com/gql
[+] 敏感密钥 2 条
Authorization: Bearer sk_live_424242424242
aws_access_key_id: AKIAIOSFODNN7EXAMPLE
🔗 典型工作流
# 1. 爬全站 JS
gau example.com | grep -i "\.js$" | tee js.txt
# 2. 批量分析
jshunter -l js.txt -t 10 --ep -o endpoints.txt
# 3. 导入 Burp / xray
cat endpoints.txt | xargs -I {} echo "{}" | xray webscan --listen 127.0.0.1:7777
📄 更新与维护
jshunter --up # 一键更新到最新 release
回复JShunter获取
低价出售安全证书不限于cisp、pte等请Vme～建了一个项目群，想进群的请回复进群即可
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：只会看监控的实习生 菜狗 菜狗《JShunter | JS 文件终端分析神器 —— 一键提取接口、硬编码密钥与潜在漏洞》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论