如何使用Mantra在JS文件或Web页面中搜索泄漏的API密钥

VSole2023-08-21 14:03:59

关于Mantra 

Mantra是一款功能强大的API密钥扫描与提取工具,该工具基于Go语言开发,其主要目标就是帮助广大研究人员在JavaScript文件或HTML页面中搜索泄漏的API密钥。

Mantra可以通过检查网页和脚本文件的源代码来查找与API密钥相同或相似的字符串。这些密钥通常用于对第三方API等在线服务进行身份验证,而且这些密钥属于机密/高度敏感信息,不应公开共享。

通过使用此工具,开发人员可以快速识别API密钥是否泄漏,并在泄漏之前采取措施解决问题。除此之外,该工具对安全研究人员也很有用,他们可以使用该工具来验证使用外部API的应用程序和网站是否充分保护了其密钥的安全。

总而言之,Mantra是一个高效而准确的解决方案,有助于保护你的API密钥并防止敏感信息泄露。

 工具下载 

由于该工具基于Go语言开发,因此我们首先需要在本地设备上安装并配置好Go语言环境。

接下来,广大研究人员可以直接使用下列命令将该项目源码克隆至本地,并完成代码构建:

git clone https://github.com/MrEmpy/Mantra
cd Mantra
make
./build/mantra-amd64-linux -h

或者,我们也可以直接使用go install命令来安装Mantra:

go install github.com/MrEmpy/Mantra@latest

 工具帮助信息 

 工具使用 

 许可证协议 

本项目的开发与发布遵循GPL-3.0开源许可证协议。

apijs代码
本作品采用《CC 协议》,转载必须注明作者和本文链接
VX小程序逆向分析
2023-06-29 09:16:31
Frida虽然确实调试起来相当方便,但是Xposed由于能够安装在用户手机上实现持久化的hook,至今受到很多人的青睐,对于微信小程序的wx.request API。背景知识众所周知,Xposed主要用于安卓Java层的Hook,而微信小程序则是由JS编写的,显然无法直接进行hook。对于Xposed则没有这个问题,只需指定微信的包名就会自动hook上所有的子进程。答案是可以的,如下所示:Xposed hook wx.request java层代码得到发送的数据实现如下所示:得到响应数据的Xposed代码就不贴了,方法同上。
由此可以推测,之前找到的main.node,可能就是解密模块。此时找到了AES的算法常量,前两个是重复的,可能是插件问题。只能去问度娘了,搜索一下AES加密解密原理与 C 实现代码
近年来,浏览器安全事件频发,给人们带来严重的损失。目前这两类技术的研究重点主要在于对浏览器的JavaScript引擎的模糊测试,基础思想都是首先将JS代码转换为语法树AST,再在语法树上进行相关变异操作。同时对其他部分进行变异,以便可以发现类似的或新的错误。⑤DIE记录运行时覆盖反馈信息决定新文件将被保存。此外,DIE同样记录自定义函数的参数和返回值的类型,以便在新构建的AST节点中进行合法调用。
JSubFinder是一款基于Golang开发的敏感信息搜索工具,根据给定的URL地址,广大研究人员可以轻松使用JSubFinder来寻找目标网站页面&JavaScript中隐藏的子域名和敏感信息。该工具利用了Go的高性能特性,并支持处理大量数据,而且可以轻松与其他工具连接成工作流。
最近遇到webpack类型的网站越来越多,所以在B站学习了一下,今天来实战一波。
如今Node.js凭借其跨平台、高性能的JavaScript执行环境,被广泛应用于服务器端和桌面程序(如Skype)的开发。在过去几年中,有报道称其他动态编程语言(例如 PHP 和 Ruby)在共享对象方面是不安全的。然而,这种安全风险在 JavaScript 和 Node.js 程序中并没有得到很好的研究和理解。
12月3日,由永安在线举办的首届API安全管理论坛在深圳举办。四位大咖围绕API面临的挑战及如何进行API安全管理进行了精彩分享。其中,腾讯技术工程事业群安全专家胡珀在论坛上作了主题为《新的安全威胁:API安全的挑战和应对策略》的分享,我们对现场演讲全文进行了梳理,以供更多关注API安全管理的人共同学习。
作者:LoRexxar‘@知道创宇404实验室时间:2020年9月21日 前言 自从人类发明了工具开始,人类就在不断为探索如何更方便快捷的做任何事情,在科技发展的过程中,人类不断地试错,不断地思考,于是才有了现代伟大的科技...
前言本次审计的话是Seay+昆仑镜进行漏洞扫描Seay的话它可以很方便的查看各个文件,而昆仑镜可以很快且扫出更多的漏洞点,将这两者进行结合起来,就可以发挥更好的效果。$sql = 'select * from xtcms_manager where m_name = "'.$a_name.'" and m_password = "'.md5.'"';验证码的校验代码if ($_SESSION['verifycode'] !该文件的含义是用0-9中的任意四个数字作为验证码,也就是说js引用该文件来产生验证码。wap/seacher.php昆仑镜扫描利用seay查看源码//这只是一部分,具体的师傅们可自行查看此文件
高达40%的npm包依赖的代码至少包含一个公开漏洞,因此如何解决 Node.js 应用的安全性检测是一个十分重要的问题。
VSole
网络安全专家