0111.自动收集 JS 文件并分析其中的密钥/端点/泄露信息。
原创
hgr00x
hgr00x
Rsec
2026年1月3日 10:20
贵州
在小说阅读器读本章
去阅读
本文章仅用网络安全研究学习，请勿使用相关技术进行违法犯罪活动。
声明：本文搬运自互联网，如你是原作者，请联系我们！
类型：自动化
今天，我将分享如何从特定目标收集 JavaScript 文件，并使用工具分析它们，以识别任何潜在的泄漏或暴露的密钥。
如何从目标设备收集 JavaScript 文件：
1-命令 → 武士刀
katana -u <https://target.com> -d 5 -jc -aff -fx -s depth-first -o katana-df.txt
katana -u <https://target.com> -d 5 -jc -aff -fx -s breadth-first -o katana-bf.txt
katana -u <https://target.com> -d 5 -jc -c 50 -o katana_normal_scan
2.收集 Java Script 文件
cat katana*.txt | grep .js$ | sort -u | tee katana_js_yourtarget.txt
3-命令 → urlfinder
urlfinder -d target.com -all -o urlfinder_yourtarget.txt
4.收集 Java Script 文件
cat urlfinder_yourtarget.txt | grep .js$ | sort -u | tee urlfinder_js_yourtarget.txt
5-命令 → hakrawler
echo <https://target.com> | hakrawler -d 5 -t 30 -subs -u | tee hakrawler_yourtarget.txt
6.收集 Java Script 文件
cat hakrawler_yourtarget.txt | grep .js$ | sort -u | tee hakrawler_js_yourtarget.txt
7-命令 → waybackurls
echo <https://target.com> | waybackurls > wayback_yourtarget.txt
8.收集 Java Script 文件
cat wayback_yourtarget.txt | grep .js$ | sort -u | tee wayback_js_yourtarget.tx
9-命令 → waymore
waymore -i yourtarget.com -oU waymore_yourtarget.txt
10. 收集 Java Script 文件
cat waymore_yourtarget.txt | grep .js$ | sort -u | tee waymore_js_yourtarget.txt
11. 合并所有包含 Java 脚本文件的文件
cat katana_js_yourtarget.txt urlfinder_js_yourtarget.txt hakrawler_js_yourtarget wayback_js_yourtarget.txt waymore_js_yourtarget.txt | sort -u | tee all_js_files.txt
移除重复项并获取有效 URL → uro 和 httpx
cat all_js_files.txt | uro | sort -u | httpx -mc 200 -o final_js_files.txt
JavaScript 数据收集阶段现已完成。
接下来，我们将使用自动化工具进入分析阶段：
从 API 密钥、令牌等搜索→ mantra
cat final_js_files.txt | mantra
从敏感数据中搜索→ secretfinder
cd secretfinder source venv/bin/activate cat ~/PATH/target/final_js_files.txt | whileread url; do python3 SecretFinder.py -i $url -o cli >> ~/PATH/target/sortedsecret.txt; done
检测源代码中的敏感数据→ jsecret
cat final_js_files.txt | jsecret
从曝光中搜索→原子核
nuclei -l final_js_files.txt -t /home/user/.local/nuclei-templates/http/exposures/-mhe 4
现在我们已经完成了一部分，但这并非全部步骤。您仍然需要手动打开这些 JavaScript 文件，并查找关键指标，例如：
- 终点
- 蜜蜂
- 证书
- 开发者评论
有时候，最关键的信息就隐藏在显而易见的地方，只能通过人工检查才能发现。
最后，希望这篇文章对您有所帮助，并让您学到了一些新知识。🐞🎯
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论