JS Analyzer - Jensec द्वारा Burp Suite एक्सटेंशन (https://x.com/_jensec)

JavaScript स्टैटिक विश्लेषण के लिए एक शक्तिशाली Burp Suite एक्सटेंशन। JavaScript फ़ाइलों से API एंडपॉइंट, URL, सीक्रेट और ईमेल पते निकालता है, साथ ही बुद्धिमान शोर फ़िल्टरिंग के साथ। लक्ष्य सटीकता सुनिश्चित करने के लिए शोर को जितना संभव हो उतना कम करना है।

विशेषताएँ

• एंडपॉइंट डिटेक्शन - API पथ, REST एंडपॉइंट, OAuth URL, एडमिन रूट ढूँढता है
• URL निष्कर्षण - क्लाउड स्टोरेज (AWS S3, Azure, GCP) सहित पूर्ण URL निकालता है
• सीक्रेट स्कैनिंग - API कुंजियाँ, टोकन, क्रेडेंशियल (AWS, Stripe, GitHub, Slack, JWT, आदि) का पता लगाता है
• ईमेल निष्कर्षण - JS कोड में ईमेल पते ढूँढता है
• फ़ाइल डिटेक्शन - संवेदनशील फ़ाइलों (.sql, .csv, .bak, .env, .pdf, आदि) के संदर्भों का पता लगाता है
• स्मार्ट फ़िल्टरिंग - XML नेमस्पेस, मॉड्यूल इम्पोर्ट, बिल्ड आर्टिफैक्ट से शोर हटाता है
• स्रोत ट्रैकिंग - दिखाता है कि प्रत्येक परिणाम किस JS फ़ाइल से आया है
• लाइव खोज - परिणामों को रीयल-टाइम में फ़िल्टर करें
• कॉपी फ़ंक्शन - व्यक्तिगत या सभी परिणामों को क्लिपबोर्ड पर कॉपी करें
• JSON निर्यात - सभी परिणामों को JSON फ़ाइल में निर्यात करें

स्थापना

1. Jython स्टैंडअलोन JAR डाउनलोड करें
2. Burp Suite में: Extensions > Extensions-Settings > Python Environment
3. Jython JAR पथ सेट करें
4. Extensions > Installed > Add
5. Python चुनें और js_analyzer.py पर ब्राउज़ करें

उपयोग

1. अपने ब्राउज़र को Burp Suite के माध्यम से प्रॉक्सी करके वेबसाइटों पर ब्राउज़ करें
2. JS रिस्पॉन्स वाली किसी भी raw(s) पर राइट-क्लिक करें (निम्नलिखित में से किसी भी टैब में):
   • Proxy > HTTP history
   • Target > Site map
   • Repeater
3. "Analyze JS with JS Analyzer" चुनें
4. परिणामों के लिए JS Analyzer टैब देखें

आप HTTP history या Dashboard से कई रिक्वेस्ट चुन सकते हैं और उन सभी को एक साथ JS Analyzer को भेज सकते हैं।

यह क्या पता लगाता है

एंडपॉइंट

पैटर्न	उदाहरण
API पथ	/api/v1/users, /api/v2/auth
REST एंडपॉइंट	/rest/data, /graphql
OAuth/प्रमाणीकरण	/oauth2/token, /auth/login, /callback
एडमिन रूट	/admin, /dashboard, /internal
Well-known	/.well-known/openid-configuration

सीक्रेट

प्रकार	पैटर्न
AWS एक्सेस कुंजी	AKIA[0-9A-Z]{16}
Google API कुंजी	AIza[0-9A-Za-z\-_]{35}
Stripe लाइव कुंजी	sk_live_[0-9a-zA-Z]{24,}
GitHub PAT	ghp_[0-9a-zA-Z]{36}
Slack टोकन	xox[baprs]-...
JWT	eyJ...
निजी कुंजियाँ	-----BEGIN PRIVATE KEY-----
डेटाबेस URL	mongodb://, postgres://, mysql://

नोट: बेझिझक फोर्क करें और आवश्यकतानुसार और सीक्रेट डिटेक्शन जोड़ें।

शोर फ़िल्टरिंग

एक्सटेंशन स्वचालित रूप से निम्न को फ़िल्टर करता है:

• XML नेमस्पेस (schemas.openxmlformats.org, www.w3.org)
• मॉड्यूल इम्पोर्ट (./, ../, @angular/, आदि)
• PDF आंतरिक पथ (/Type, /Font, /Filter)
• Excel/XML पथ (xl/, docProps/, worksheets/)
• लोकेल फ़ाइलें (en.js, fr-ca.js)
• क्रिप्टो लाइब्रेरी आंतरिक (sha.js, aes, bn.js)

फ़ाइलें

संवेदनशील फ़ाइल प्रकारों के संदर्भों का पता लगाता है:

श्रेणी	एक्सटेंशन
डेटा	.sql, .csv, .xlsx, .json, .xml, .yaml
कॉन्फ़िग	.env, .conf, .ini, .cfg, .config
बैकअप	.bak, .backup, .old, .orig
प्रमाणपत्र	.key, .pem, .crt, .p12, .pfx
दस्तावेज़	.pdf, .doc, .docx
आर्काइव	.zip, .tar, .gz
स्क्रिप्ट	.sh, .bat, .ps1, .py

स्टैंडअलोन इंजन

अपने स्वयं के Python प्रोजेक्ट या API में उपयोग के लिए:

from js_analyzer_engine import JSAnalyzerEngine

engine = JSAnalyzerEngine()
results = engine.analyze(javascript_content)

print(results["endpoints"])  # ['/api/v1/users', ...]
print(results["urls"])       # ['https://api.example.com', ...]
print(results["secrets"])    # [{'type': 'AWS Key', 'value': '...', 'masked': '...'}, ...]
print(results["emails"])     # ['[email protected]', ...]

Flask API उदाहरण

from flask import Flask, request, jsonify
from js_analyzer_engine import JSAnalyzerEngine

app = Flask(__name__)
engine = JSAnalyzerEngine()

@app.route('/analyze', methods=['POST'])
def analyze():
    content = request.json.get('content', '')
    results = engine.analyze(content)
    return jsonify(results)

if __name__ == '__main__':
    app.run(port=5000)

फ़ाइल संरचना

JSextension/
├── js_analyzer.py          # Main Burp extension entry point
├── ui/
│   ├── __init__.py
│   └── results_panel.py    # Burp UI panel
├── README.md
└── LICENSE

योगदान

योगदान का स्वागत है! बेझिझक:

• नए सीक्रेट पैटर्न जोड़ें
• शोर फ़िल्टरिंग में सुधार करें
• नए एंडपॉइंट पैटर्न जोड़ें
• बग या समस्याओं की रिपोर्ट करें

लाइसेंस

MIT लाइसेंस - LICENSE फ़ाइल देखें।

श्रेय

प्रेरणा:

• LinkFinder - एंडपॉइंट डिटेक्शन regex
• TruffleHog - सीक्रेट पैटर्न

लेखक

Jenish Sojitra (https://x.com/_jensec)

❤️ के साथ InfoSec और टेक समुदाय के लिए बनाया गया।