JSHunter

À propos

JSHunter est un outil en ligne de commande complet pour l'analyse de sécurité JavaScript et la découverte de points de terminaison. Conçu pour les professionnels de la sécurité, les testeurs d'intrusion et les développeurs, il offre des capacités d'analyse de niveau entreprise avec des algorithmes de détection de haute précision et des fonctionnalités de reporting professionnelles.

https://github.com/user-attachments/assets/5a5f60fa-f8dc-4aac-bd06-2e93779f9af4

JSHunter en action — une capture réelle du terminal de l'interface CLI (chaque secret affiché est une fausse donnée de test)

---

Table des matières

• À propos
• Fonctionnalités
• Installation
• Démarrage rapide
• Exemples d'utilisation
• Référence des commandes
• Utilisation avancée
• Contribution
• Licence
• Support

---

Fonctionnalités

Capacités principales

• Découverte complète de points de terminaison : Extrait automatiquement les URL, les points de terminaison d'API et les paramètres cachés des fichiers JavaScript
• Analyse de sécurité avancée : Identifie les clés d'API, les jetons JWT, les identifiants et les vulnérabilités potentielles avec une grande précision
• Méthodes d'entrée flexibles : Prend en charge les URL, les listes de fichiers, les fichiers locaux, la redirection stdin et la découverte récursive
• Architecture haute performance : Traitement concurrent multi-thread avec limitation de débit intelligente
• Fonctionnalités de furtivité professionnelles : Prise en charge de proxy, en-têtes personnalisés, rotation de user-agent et détection de contournement

Moteur de détection intelligent

Précision de niveau entreprise avec des algorithmes d'analyse avancés

• Détection intelligente de Base64 : Un filtrage de haute précision élimine les faux positifs provenant de contenus multimédias et de données encodées
• Interface professionnelle : Terminologie, documentation et formats de reporting complets adaptés à l'entreprise
• Analyse contextuelle : Des algorithmes avancés distinguent les véritables jetons de sécurité des données multimédias encodées
• Analyse d'entropie : Des algorithmes mathématiques identifient avec précision les véritables jetons de sécurité et identifiants

Moteur de détection structurelle

JSHunter analyse le JavaScript qu'il scanne au lieu de se contenter de le comparer à des motifs. Un scanner ECMAScript à passe unique classe chaque octet de la réponse comme littéral de chaîne, littéral de gabarit, commentaire, littéral d'expression régulière ou code, et les règles de détection sont évaluées par rapport à cette classification.

Cela est important car une regex n'a aucune idée de ce qu'elle a trouvé. Les mêmes quarante caractères base64 signifient « identifiant » à l'intérieur d'un littéral de chaîne, « hash de chunk » à l'intérieur d'un identifiant minifié, et rien du tout lorsqu'ils chevauchent la jointure entre deux jetons adjacents. Savoir de quoi il s'agit remplace un tas d'heuristiques de proximité par une réponse structurelle :

• Filtrage par région : une correspondance à l'intérieur d'un littéral d'expression régulière est un motif, pas une valeur. Une correspondance qui franchit une frontière de jeton n'est pas un littéral unique. Une correspondance dans du code est un fragment d'identifiant. Les trois sont rejetées d'emblée.
• Contexte de liaison : au lieu de scanner une fenêtre fixe de caractères à la recherche du mot key, le moteur récupère l'identifiant ou la clé de propriété à laquelle la valeur est réellement liée — const stripeSecret = "..." se lit très différemment de {contentHash: "..."}, et une règle basée uniquement sur la forme exige désormais cette liaison.
• Ensembles de clés voisines : les membres d'une configuration web Firebase, d'une configuration de recherche Algolia, d'une configuration d'analyse Segment et d'un client navigateur Supabase sont reconnus par la forme de l'objet dans lequel ils se trouvent.
• Forme de la valeur : les condensés, UUID, prose, chemins, espaces réservés et base64 qui se décode en PNG, police, document JSON ou phrase anglaise sont chacun identifiés pour ce qu'ils sont.
• Classification de l'exposition : les valeurs que l'émetteur publie intentionnellement — clés publiables Stripe, jetons publics Mapbox, JWT anon Supabase lus depuis leur propre revendication role, SID Twilio — sont classifiées plutôt que signalées comme des fuites. --include-public les signale quand même.
• Surprise relative au fichier : un modèle de transition de caractères construit à partir du fichier scanné évalue à quel point un candidat diffère du reste de ce fichier.

Chaque rejet est conditionné au fait que le corps soit de manière fiable du JavaScript ou du JSON. Sur tout autre chose — un fichier .env, de la prose, du HTML brut — le moteur apporte des preuves mais ne supprime jamais, de sorte qu'une entrée mal classifiée ne peut jamais masquer un secret. --no-structural désactive toute cette couche et restaure le comportement de la v0.7.

Les résultats portent le raisonnement sous forme d'un objet evidence dans --json, --ndjson et le sac de propriétés SARIF :```json "exposure": "secret", "evidence": { "region": "string-literal", "role": "assignment", "bound_to": "awsAccessKeyId", "shape": "opaque-token", "charset": "alphanumeric", "signals": [ {"name": "in-literal", "delta": 0.04, "detail": "value is a complete string-literal"}, {"name": "credential-binding", "delta": 0.12, "detail": "bound to 'awsAccessKeyId'"} ] }

`--stats` indique ce que chaque étape a supprimé, afin que le pipeline reste auditable.

### Graphe de chunks et découverte de routes