该脚本用于漏洞赏金中的JavaScript侦察自动化。只需传入子域名列表并根据偏好设置选项即可。
1 - Gather Jsfile Links from different sources.
2 - Import File Containing JSUrls
3 - Extract Endpoints from Jsfiles
4 - Find Secrets from Jsfiles
5 - Get Jsfiles store locally for manual analysis
6 - Make a Wordlist from Jsfiles
7 - Extract Variable names from jsfiles for possible XSS.
8 - Scan JsFiles For DomXSS.
9 - Generate Html Report.
有两种执行方式：在主机上本地执行或在Docker容器中执行
注意：在本地运行安装脚本之前，请确保已正确安装golang。
$ sudo chmod +x install.sh
$ ./install.sh
使用Docker版本时，所有内容将自动安装。只需执行以下命令：
$ git clone https://github.com/KathanP19/JSFScan.sh
$ cd JSFScan.sh/
$ docker build . -t jsfscan
要启动预先配置的容器，请运行以下命令：
$ docker run -it jsfscan "/bin/bash"
之后将打开一个交互式bash会话。
目标列表应包含 https:// 和 http://，使用 httpx 或 httprobe 实现。
https://hackerone.com
https://github.com
如果想添加cookie，请编辑第23行的命令 cat $target | hakrawler -js -cookie "cookie here" -depth 2 -scope subs -plain >> jsfile_links.txt
注意：如果觉得工具速度慢，请注释掉 JSFScan.sh 脚本第23行的 hakrawler 行，但这可能导致 js 文件链接略少。
_______ ______ _______ ______ _
(_______/ _____(_______/ _____) | |
_ ( (____ _____ ( (____ ____ _____ ____ ___| |__
_ | | \____ \| ___) \____ \ / ___(____ | _ \ /___| _ \
| |_| | _____) | | _____) ( (___/ ___ | | | |_|___ | | | |
\___/ (______/|_| (______/ \____\_____|_| |_(_(___/|_| |_|
Usage:
-l Gather Js Files Links
-f Import File Containing JS Urls
-e Gather Endpoints For JSFiles
-s Find Secrets For JSFiles
-m Fetch Js Files for manual testing
-o Make an Output Directory to put all things Together
-w Make a wordlist using words from jsfiles
-v Extract Vairables from the jsfiles
-d Scan for Possible DomXSS from jsfiles
-r Generate Scan Report in html
--all Scan Everything!
欢迎您的贡献和建议。
如果该项目对您有所帮助，您可以为请我喝杯咖啡 ;)
