jenish-sojitra/jsanalyzerErweiterung für Burp Suite zur statischen JavaScript-Analyse: extrahiert API-Endpunkte, URLs, Secrets und E-Mail-Adressen mit Rauschfilterung für Web-Sicherheitstests.
Eine leistungsstarke Burp-Suite-Erweiterung für die statische JavaScript-Analyse. Extrahiert API-Endpunkte, URLs, Secrets und E-Mail-Adressen aus JavaScript-Dateien mit intelligenter Rauschfilterung. Das Ziel ist es, das Rauschen so weit wie möglich zu reduzieren, um die Genauigkeit zu gewährleisten.
Extensions > Extensions-Settings > Python EnvironmentExtensions > Installed > AddPython und navigieren Sie zu js_analyzer.pySie können mehrere Anfragen aus dem HTTP-Verlauf oder Dashboard auswählen und alle zusammen an den JS Analayzer senden.
| Muster | Beispiel |
|---|---|
| API-Pfade | /api/v1/users, /api/v2/auth |
| REST-Endpunkte | /rest/data, /graphql |
| OAuth/Auth | /oauth2/token, /auth/login, /callback |
| Admin-Routen | /admin, /dashboard, /internal |
| Well-known | /.well-known/openid-configuration |
| Typ | Muster |
|---|---|
| AWS Access Key | AKIA[0-9A-Z]{16} |
| Google-API-Schlüssel | AIza[0-9A-Za-z\-_]{35} |
| Stripe-Live-Schlüssel | sk_live_[0-9a-zA-Z]{24,} |
| GitHub-PAT | ghp_[0-9a-zA-Z]{36} |
| Slack-Token | xox[baprs]-... |
| JWT | eyJ... |
| Private Schlüssel | -----BEGIN PRIVATE KEY----- |
| Datenbank-URLs | mongodb://, postgres://, mysql:// |
#Hinweis: Forken Sie das Projekt gerne und fügen Sie nach Bedarf weitere Secret-Erkennungen hinzu.
Die Erweiterung filtert automatisch Folgendes heraus:
schemas.openxmlformats.org, www.w3.org)./, ../, @angular/ usw.)/Type, /Font, /Filter)xl/, docProps/, worksheets/)en.js, fr-ca.js)sha.js, aes, bn.js)Erkennt Verweise auf sensible Dateitypen:
| Kategorie | Erweiterungen |
|---|---|
| Daten | .sql, .csv, .xlsx, .json, .xml, .yaml |
| Konfiguration | .env, .conf, .ini, .cfg, .config |
| Backup | .bak, .backup, .old, .orig |
| Zertifikate | .key, .pem, .crt, .p12, .pfx |
| Dokumente | .pdf, .doc, .docx |
| Archive | .zip, .tar, .gz |
| Skripte | .sh, .bat, .ps1, .py |
Zur Verwendung in eigenen Python-Projekten oder APIs:
from js_analyzer_engine import JSAnalyzerEngine
engine = JSAnalyzerEngine()
results = engine.analyze(javascript_content)
print(results["endpoints"]) # ['/api/v1/users', ...]
print(results["urls"]) # ['https://api.example.com', ...]
print(results["secrets"]) # [{'type': 'AWS Key', 'value': '...', 'masked': '...'}, ...]
print(results["emails"]) # ['[email protected]', ...]
from flask import Flask, request, jsonify
from js_analyzer_engine import JSAnalyzerEngine
app = Flask(__name__)
engine = JSAnalyzerEngine()
@app.route('/analyze', methods=['POST'])
def analyze():
content = request.json.get('content', '')
results = engine.analyze(content)
return jsonify(results)
if __name__ == '__main__':
app.run(port=5000)
JSextension/
├── js_analyzer.py # Main Burp extension entry point
├── ui/
│ ├── __init__.py
│ └── results_panel.py # Burp UI panel
├── README.md
└── LICENSE
Beiträge sind willkommen! Sie können gerne:
MIT-Lizenz - siehe Datei LICENSE.
Inspiriert von:
Jenish Sojitra (https://x.com/_jensec)
Mit ❤️ für die InfoSec- und Tech-Community erstellt.