攻防、SRC必备插件 | 前端资产采集、嗅探、指纹扫描、泄露扫描、漏洞审计与 Vue Router 分析

免责声明

由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！所有工具安全性自测！！！VX：NightCTI

朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把夜组安全“设为星标”，否则可能就看不到了啦！

工具介绍

玄镜 AegisScope 是一款浏览器扩展工具，用于在当前页面上下文中采集前端代码资产，并对页面 HTML、JavaScript、SourceMap、打包器产物和运行时接口线索进行分析。

它的目标不是替代人工安全审计，而是把前端侧最容易遗漏的代码资产、敏感信息、接口线索、路由鉴权依赖和逻辑风险集中呈现出来，让测试人员可以更快定位值得复核的位置。

核心能力

代码资产采集

自动采集当前页面的外链脚本和内联脚本。
支持页面 HTML 一并纳入采集与扫描。
保存模块分为 JS 和 HTML：JS 会将代码类资源统一打包为 ZIP，HTML 会将当前页面尽量内联为单个 HTML 文件。
支持继续发现运行时 chunk、SourceMap、框架资源、内联 SourceMap 中的源码文件。
对同源资源使用当前页面上下文读取，提高登录态页面的代码资源获取成功率。

泄露扫描

泄露扫描用于发现前端代码中可能暴露的敏感数据、密钥、令牌和不安全加密用法。

支持识别的常见类型包括：

云厂商凭证：AWS、阿里云、腾讯云、Google Cloud、Azure、华为 OBS/OSS 等。
平台 Token：GitHub、GitLab、Slack、Discord、npm、Docker、Shopify、Cloudflare、Vercel、Netlify、Mailgun、Firebase 等。
API Key 与请求头凭证：Bearer Token、Basic Auth、Authorization Token、X-API-Key、Session/Cookie Token 等。
个人敏感信息：邮箱、手机号、国际手机号、身份证号、银行卡号、公网 IP、内网 IP 等。
Webhook：Slack、Discord、企业微信、钉钉、飞书等。
加密风险：硬编码 AES/IV/HMAC/JWT 密钥、AES ECB、DES/3DES、RC4、MD5/SHA1 安全上下文、RSA PKCS1/NoPadding、eval 解码执行等。
打包/混淆识别：Webpack、Vite/Rollup、Parcel、Browserify、Next.js、Nuxt、Angular、Umi/Dva，以及常见混淆和压缩特征。

扫描结果会按漏洞严重性排序，危害最高的结果优先展示。

网站嗅探

网站嗅探模块采用玄镜自研的多来源识别思路，用于对当前站点进行被动技术识别。点击主弹窗中的“网站嗅探”后，结果会直接在当前插件页面内展开，不会跳转到新的页面。模块会结合页面 HTML、响应头、Cookie、Meta、脚本资源、运行时全局变量和资源路径等多类证据，快速识别 Web Server、运行时、前后端框架、CMS、JavaScript 库、UI 框架、字体脚本、数据库线索、分析工具、CDN 和安全响应头等信息。