JsOwl｜AI 赋能 JS 敏感信息扫描器，AST + 正则、source‑map 源码还原、登录态爬虫输出交互式 HTML 报告

0x01 工具介绍

JsOwl 是一款 Go 语言开发的高性能 JavaScript 信息收集与安全扫描工具，同时可作为 Go 类库调用。支持 direct、browser、auto 三种采集模式，依托正则与 Tree‑sitter AST 双引擎，兼容 HaE 规则库，可提取 API 接口、路由、Token 密钥等敏感数据。具备登录态扫描、SPA 运行时交互抓取能力，集成 AI 辅助分析与 MCP Server 能力，对接大模型完成敏感信息评级，批量输出 JSON 与交互式 HTML 报告，是红队渗透、Web 安全测试阶段梳理前端攻击面的自动化利器。

注意：现在只对常读和星标的才展示大图推送，建议大家把渗透安全HackTwo "设为星标**⭐️****** "否 则可能就看不到了啦！

下载地址在末尾 #渗透安全HackTwo

0x02 功能介绍

✨核心特点

免责声明：仅可用于已获得明确授权的安全测试环境。报告会保留完整敏感值，请严格限制访问并妥善清理。

核心能力

三种采集模式

direct （高速 HTTP）/ browser（Rod 驱动本地 Chrome 渲染）/ auto（默认，先 direct 后按 SPA 信号自动升级浏览器）

深度资源发现

递归发现脚本、Webpack chunk、RequireJS 配置、框架路由与 API，支持 source map 还原原始源码

敏感信息提取

兼容 https://github.com/gh0stkey/HaE 规则格式，正则 + AST 双引擎，内置密钥 / 凭证 / 指纹规则集

运行时交互

自动填表提交、事件点击、SPA 路由爬取，捕获页面真实发出的 API 请求（可选，默认关闭）

登录态扫描 --login

打开可见浏览器手动登录后，携带会话 Cookie 完成整批扫描（可带 -u，也可不带 -u 在浏览器里自行导航）

AI 辅助分析 - ai

接入大模型做参数完整性与敏感发现评级（可选，需配置 API Key）

MCP Server

通过 https://modelcontextprotocol.io/ 把扫描能力暴露给任意 LLM 客户端

多格式报告

JSON + 自包含交互式 HTML 总览与分项报告（API / URL / 敏感信息 / 参数 / 路由 / 资源）+ 纯文本清单

0x03 更新介绍

复制代码

Full Changelog: https://github.com/youmulijiang/jsowl/commits/v1.0.0-beta.1

0x04 使用介绍

📦安装与使用指南

需要 Go 1.25+ 与 C 编译器（JavaScript AST 使用 Tree-sitter，必须启用 CGO）：

复制代码

cd jsowl
go build -o jsowl ./cmd/jsowl
扫描一个目标：

jsowl -u https://example.com                  # 基础扫描
jsowl -u https://example.com -m browser       # 强制浏览器渲染模式
jsowl -u https://example.com --login          # 手动登录后带会话扫描
jsowl --login                                 # 不指定 URL：打开浏览器自行导航，
登录后扫描当前页

jsowl -u https://example.com --aff            # 开启运行时自动填表与交互
jsowl -l targets.txt -o reports               # 批量目标 + 自定义输出目录
jsowl --check                                 # 检查配置、规则与本地浏览器
扫描完成后在 jsowl-report/example.com/ 下生成 report.html（交互式总览入口）、report.json 与分项报告。

示例输出

https://example.com/ [18240] [200] [text/html; charset=utf-8]
[200] GET https://api.example.com/v2/user/info [runtime]
jsowl-report/
└── example.com/
    ├── report.html          # 交互式总览 + 分项报告导航
    ├── report.json          # 完整 JSON 结果
    ├── API报告.html / url.txt / 敏感信息.txt ...
    └── js/                  # 下载保存的脚本与 chunk

0x05 下载方式

《渗透安全HackTwo》回复20261016获取下载