工具
jsluice JavaScript 静态提取工具
Bishop Fox 推出的 Go 库与命令行工具，借助 tree-sitter 解析 JavaScript，还原脚本所调用的接口地址；它依据代码如何使用某个值来判断，而不仅仅依靠正则表达式。URL 提取会跟踪 location 赋值、window.open、fetch、XMLHttpRequest 和 jQuery 请求调用，保留 HTTP 方法、请求头以及查询或请求体参数，并以占位符代替只有运行时才能确定的值。其他模式可标记形似凭据的值、打印语法树、运行 tree-sitter 查询以及格式化压缩代码。
使用条件与局限
- 该项目不发布任何版本或标签：README 通过 go install 安装命令行工具，通过 go get 引入软件包。go.mod 声明 Go 1.18，并固定 go-tree-sitter、goquery、jsbeautifier-go 和一个 WARC 读取库的版本。所审阅的 main 提交日期为 2024-01-10；仓库包含 Go 单元测试和 JavaScript 测试样例，但没有 CI 工作流。
- 输入可以是 JavaScript 文件、会从中提取内联脚本的 HTML 页面、WARC 归档、通过标准输入传入的原始源码，或可附带 Cookie 和请求头抓取的 http(s) URL；输出为 JSONL。分析是静态的：拼接进来的运行时值显示为 EXPR 或自定义占位符，README 也承认这种方法并非万无一失，因此提取出的接口只是需要对照应用核实的线索。
- secrets 模式内置的有效匹配器只覆盖 AWS、GCP 和 GitHub 密钥格式以及 Firebase 配置对象，另可加载用户提供的 JSON 模式文件；README 示例表明，未加锚点的自定义模式会匹配到意料之外的值。匹配结果只是模式命中，并非已确认的凭据，本条目也不记录使用该工具得到的任何值。
- 采用 MIT 许可，版权归 Bishop Fox（2023）。本次未构建或运行该工具。
关于此条目
- 类型
- 工具
- 类别
- 网站分析工具
- 关联
- 基础工具
- 目标
- 网站
来源复核于
说明已依据一手来源复核；这不代表已运行验证、经过安全审计或确认兼容。
一手来源
- README.mkd GitHub · BishopFox/jsluice · 修订 0ddfab1
- cmd/jsluice/README.mkd GitHub · BishopFox/jsluice · 修订 0ddfab1
- go.mod GitHub · BishopFox/jsluice · 修订 0ddfab1
- analyzer.go#L23-L43 GitHub · BishopFox/jsluice · 修订 0ddfab1
- secret-matchers.go#L91-L98 GitHub · BishopFox/jsluice · 修订 0ddfab1
- cmd/jsluice/main.go GitHub · BishopFox/jsluice · 修订 0ddfab1
- LICENSE GitHub · BishopFox/jsluice · 修订 0ddfab1