有关JS下隐藏的敏感信息

免责声明:本文仅做分享! 

目录

JavaScript

介绍

核心组成

工具

FindSomething **

浏览器检查 **

LinkFinder

URLfinder **

SuperSearchPlus **

ffuf

ParasCollector

waymore

Packer Fuzzer

JS逆向

应用:

小结:


JavaScript

介绍

JavaScript 是一种脚本编程语言,它可以在网页上实现复杂的功能,网页展现给你的不再是简单的静态信息,以及各种的表单提交,内容获取,都使用了 JavaScript。

核心组成

JavaScript包含以下几个核心组成部分:

  1. ECMAScript:这是JavaScript的标准化语言,定义了JavaScript的语法和基本功能。ECMAScript规范由ECMA国际组织维护,不同版本对语言进行了扩展和优化。ES6(ECMAScript 2015)是JavaScript发展的重要里程碑,带来了诸如letconst、箭头函数、模块化等新特性。

  2. DOM(Document Object Model):DOM是浏览器中JavaScript操作网页结构的接口。它将网页的HTML结构表示为树状结构,开发者可以通过JavaScript动态修改网页的内容、样式和结构。

  3. BOM(Browser Object Model):BOM提供了一组浏览器相关的API,允许开发者通过JavaScript与浏览器进行交互。例如,开发者可以通过BOM访问和控制浏览器的窗口、导航历史、URL地址、cookies等。


 

工具

FindSomething **

浏览器插件的被动式信息提取工具。

GitHub - momosecurity/FindSomething: 基于chrome、firefox插件的被动式信息泄漏检测工具

浏览器检查 **

源代码

调试器 断点

暂停/恢复脚本执行(程序执行到下一断点停止)。
执行到下一步的函数调用(跳到下一行)。
进入当前函数。
跳出当前执行函数。
关闭/开启所有断点(不会取消)。
异常情况自动断点设置。


LinkFinder

LinkFinder 是一个 Python 脚本,用于发现 JavaScript 文件中的 endpoints 及其参数。通过使用该工具,研究人员可以轻松在 JavaScript 文件中发现和扫描网络节点及其相关参数。

https://github.com/GerbenJavado/LinkFinder

403


URLfinder **

pingc0y/URLFinder: 一款快速、全面、易用的页面信息提取工具,可快速发现和提取页面中的JS、URL和敏感信息。 (github.com)


SuperSearchPlus **

superSearchPlus 是聚合型信息收集插件,支持综合查询,资产测绘查询,信息收集 敏感信息提取 js 资源扫描 目录扫描 vue 组件扫描 整合了目前常见的资产测绘平台 同时支持数据导出。 谷歌浏览器插件。

GitHub - dark-kingA/superSearchPlus: superSearchPlus是聚合型信息收集插件,支持综合查询,资产测绘查询,信息收集 敏感信息提取 js资源扫描 目录扫描 vue组件扫描 整合了目前常见的资产测绘平台 专为白帽子提供快速侦测目标。


ffuf

ffuf/ffuf: Fast web fuzzer written in Go (github.com)

爆破没有返回的js.

---找到接口时 fuzz 一下是吧 ,类型,类似的接口。多观察接口,推测其功能,然后根据功能去FUZZ,毕竟你要实现一个web功能,基本都要有对应的增删改查接口。


ParasCollector

Giftedboy/ParasCollector: Burp Suite参数收集插件(Python) (github.com)

Burp Suite参数收集插件(Python)

用于收集请求/响应中出现的参数,包括 json 数据的参数


waymore

xnl-h4ck3r/waymore: Find way more from the Wayback Machine, Common Crawl, Alien Vault OTX, URLScan & VirusTotal! (github.com)

获取某个网站的历史页面、url、各种资源文件,其中也包括JS...


Packer Fuzzer

rtcatc/Packer-Fuzzer: Packer Fuzzer is a fast and efficient scanner for security detection of websites constructed by javascript module bundler such as Webpack. (github.com)

一款针对Webpack等前端打包工具所构造的网站进行快速、高效安全检测的扫描工具

---网站用webpack压缩很多js文件时,用Webpack下载提取。


JS逆向

JavaScript逆向工程(JS Reverse Engineering)是一种通过分析和研究JavaScript代码来了解其工作原理的过程。

以前js学习的案例,(主要是登录处的密码加密)先学习思路--->

js逆向之实例某宝热卖(MD5)&爬虫_某宝js逆向-CSDN博客

js逆向之对称加密&west交大登录密码_登录密码逆向-CSDN博客

js逆向之某波大学身份认证&登录密码_("#password").val(encryptaes-CSDN博客

学习文章:

JS断点调试与逆向干货心得

JS逆向,前端加密暴力破解(小白无痛学习)

【SRC】我们需要从JS文件里提取哪些信息?


 

应用:

应用领域具体用途
恶意软件分析解析混淆或加密的JavaScript代码,揭示恶意行为并编写检测规则。
破解前端防护措施绕过反爬虫机制、验证码验证和加密API参数等客户端防护措施。
API安全评估分析前端代码中的加密和签名算法,评估API的参数安全性和签名机制。
漏洞挖掘通过分析JavaScript代码发现XSS、CSRF等前端安全漏洞。
混淆与加密逆向破解JavaScript代码混淆和加密技术,还原原始代码结构。
反调试与反分析技术研究研究并绕过前端代码的反调试、反虚拟化检测等防护措施。
自动化测试与爬虫开发模拟复杂用户行为,绕过前端逻辑,实现自动化抓取数据或测试Web应用安全性。
数据加密与解密分析逆向前端加密逻辑,解密加密数据,测试数据加密的安全性。
网络钓鱼与诈骗网站分析分析钓鱼和诈骗网站的JavaScript代码,识别隐藏的恶意行为。

小结:

查找JS时不要只关注.js文件;配合小程序等等寻找~

fuzz

新站点,新JS发现


本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:/a/881145.html

如若内容造成侵权/违法违规/事实不符,请联系我们进行投诉反馈qq邮箱809451989@qq.com,一经查实,立即删除!

相关文章

java-----IDE(集成开发环境)

IDE(集成开发环境) IDE(集成开发环境)-IDEA IDEA 介绍 1) IDEA 全称 IntelliJ IDEA2) 在业界被公认为最好的Java开发工具3) IDEA是JetBrains 公司的产品,总部位于捷克的首都布拉格4) 除了支持Java开发,还…

54.【C语言】 字符函数和字符串函数(strncpy,strncat,strncmp函数)

和strcpy,strcat,strcmp函数对应的是strncpy,strncat,strncmp函数 8.strncpy函数 *简单使用 cplusplus的介绍 点我跳转 翻译: 函数 strncpy char * strncpy ( char * destination, const char * source, size_t num ); 从字符串中复制一些字符 复制源(source)字符串的前num个…

【专题】2024新能源企业“出海”系列之驶向中东、东南亚报告合集PDF分享(附原数据表)

原文链接: https://tecdat.cn/?p37698 在“双碳”目标引领下,中国新能源产业近年迅猛发展,新能源企业凭借技术革新、政策支持与市场驱动实现快速增长,在产业链完备、技术领先、生产效能及成本控制等方面优势显著。面对国内外环境…

MySQL中的LIMIT与ORDER BY关键字详解

前言 众所周知,LIMIT和ORDER BY在数据库中,是两个非常关键并且经常一起使用的SQL语句部分,它们在数据处理和分页展示方面发挥着重要作用。 今天就结合工作中遇到的实际问题,回顾一下这块的知识点。同时希望这篇文章可以帮助到正…

ZXing.Net:一个开源条码生成和识别器,支持二维码、条形码等

推荐一个跨平台的非常流行的条码库,方便我们在.Net项目集成条码扫描和生成功能。 01 项目简介 ZXing.Net是ZXing的.Net版本的开源库。支持跨多个平台工作,包括 Windows、Linux 和 macOS,以及在 .NET Core 和 .NET Framework 上运行。 解码…

【数据结构】设有一带头结点的单链表,编程将链表颠倒过来。要求不用另外的数 组或结点完成。

编程题: 设有一带头结点的单链表,编程将链表颠倒过来。要求不用另外的数 组或结点完成。 分析: 该算法通过维护三个指针(prev、curr 和 next)逐步遍历单链表,实现链表的逆转。在遍历过程中,cur…

IDEA Cody 插件实现原理

近年来,智能编程助手 在开发者日常工作中变得越来越重要。IDEA Cody 插件是 JetBrains 生态中一个重要的插件,它可以帮助开发者 快速生成代码、自动补全、并提供智能提示,从而大大提升开发效率。今天我们将深入探讨 Cody 插件的实现原理&…

技术成神之路:设计模式(十四)享元模式

介绍 享元模式(Flyweight Pattern)是一种结构性设计模式,旨在通过共享对象来有效地支持大量细粒度的对象。 1.定义 享元模式通过将对象状态分为内部状态(可以共享)和外部状态(不可共享)&#xf…

AI免费UI页面生成

https://v0.dev/chat v0 - UI设计 cursor - 编写代码 参考:https://www.youtube.com/watch?vIyIVvAu1KZ4 界面和claude类似,右侧展示效果和代码 https://pagen.so/

【重学 MySQL】三十、数值类型的函数

【重学 MySQL】三十、数值类型的函数 基本函数角度与弧度互换函数三角函数指数与对数进制间的转换示例 基本函数 MySQL提供了一系列基本的数值函数,用于处理数学运算和数值转换。以下是一些常用的基本函数及其用法: 函数用法ABS(x)返回x的绝对值。SIGN…

[docker]入门

本文章主要讲述的是,docker基本实现原理,docker概念的解释,docker的使用场景以及docker打包与部署的应用。 文章中docker所运行的系统:CentOS Linux release 7.9.2009 (Core) 目录 docker是什么,什么时候需要去使用 …

【Mysql-索引总结】

文章目录 什么是索引索引类型索引的数据结构Hash索引有序数组二叉搜索树平衡二叉树B树B索引 索引使用规则索引失效的情况如何选择正确的列进行索引? 什么是索引 索引是一种单独的、物理的对数据库表中一列或多列的值进行排序的一种存储结构,它是某个表中…

无人机黑飞打击技术详解

随着无人机技术的普及,无人机“黑飞”(未经授权或违反规定的飞行)现象日益严重,对公共安全、隐私保护及重要设施安全构成了严重威胁。为有效应对这一挑战,各国政府和安全机构纷纷研发并部署了一系列无人机黑飞打击技术…

基于STM32的温度、电流、电压检测proteus仿真系统(OLED、DHT11、继电器、电机)

目录 一、主要功能 二、硬件资源 三、程序编程 四、实现现象 一、主要功能 基于STM32F103C8T6 采用DHT11读取温度、滑动变阻器模拟读取电流、电压。 通过OLED屏幕显示,设置电流阈值为80,电流小阈值为50,电压阈值为60,温度阈值为30 随便哪个超过预祝,则继电器切断,LE…

战神5/战神:诸神黄昏/God of War Ragnarok

版本介绍 v1.0.612.4312|容量175GB|官方简体中文|支持键盘.鼠标.手柄|赠单板学习补丁 配置要求 战神5/战神:诸神黄昏/God of War Ragnarok 游戏介绍 不灭的北欧传奇 由Santa Monica Studio出品、Jetpack Interactive负责PC移植的佳作《God of War Ragnark》将带您…

网络设备登录——《路由与交换技术》实验报告

目录 一、实验目的 二、实验设备和环境 三、实验记录 1.通过 Console 登录 步骤1:连接配置电缆。 步骤2:启动PC,运行超级终端。 步骤3:进入Console 配置界面 2.通过 Telnet 登录 步骤1:通过 Console 接口配置 Telnet 用户。 步骤2:配置 super 口令 步骤3:配置登录欢迎…

Java之封装

文章目录 1.封装1.1 什么是封装1.2 访问限定符1.3 包1.3.1 什么是包1.3.2 导包1.3.3 自定义包 2. static2.1 static 修饰成员变量2.2 static 修饰成员方法2.3 static成员变量初始化 3. 代码快3.1 普通代码块3.2 实例代码块3.3 静态代码块 4. 对象的打印 1.封装 1.1 什么是封装…

ubuntu安装emqx

目录 1.预先下载好emqx压缩包 2.使用tar命令解压 3.进入bin目录 5.放开访问端口18083 6.从通过ip地址访问emqx后台 7.默认用户名密码为admin/public 8.登录后台 9.资源包绑定在此博文可自取 1.预先下载好emqx压缩包 2.使用tar命令解压 sudo tar -xzvf emqx-5.0.8-el8-…

monorepo基础搭建教程(从0到1 pnpm+monorepo+vue)

monorepo 前言1、搭建空项目并配置pnpm-workspace.yamlpnpm initpnpm-workspace.yaml 2.配置packages测试文件配置相关内容 3.引入packages内容至公共package.json4.创建测试项目,并引入公共包结语 前言 有个项目要引入一个第三方库,但是第三方库下载下…

LabVIEW提高开发效率技巧----使用快捷键

在LabVIEW的开发过程中,熟练掌握和运用快捷键可以极大地提升工作效率,减少重复性操作所花费的时间。快捷键不仅可以加快编程速度,还能让开发者更加专注于逻辑实现和功能设计。细问问将详细介绍LabVIEW中的常用快捷键,特别是强大的…