搜索

[2716] 2016-03-28_Jsprime——一款JavaScript静态安全分析工具

文档创建者：s7ckTeam
浏览次数：46
最后更新：2025-01-16
2016-03-28_Jsprime——一款JavaScript静态安全分析工具 J s p r i m e — — 一 款 J a v a S c r i p t 静 态 安 全 分 析 工 具 E 安 全   2 0 1 6 - 0 3 - 2 8 如 今 ， 越 来 越 多 开 发 人 开 始 将 J a v a S c r i p t 作 为 其 首 选 语 言 方 案 。 理 由 很 简 单 ， J a v a S c r i p t 如 今 正 越 来 越 多 地 被 视 为 应 用 程 序 的 主 流 开 发 语 言 — — 无 论 是 在 W e b 层 面 抑 或 是 移 动 端 ， 客 户 端 不 是 服 务 器 端 。 J a v a S c r i p t 拥 有 出 色 的 灵 活 性 ， 而 宽 松 的 语 句 设 计 能 够 让 开 发 人 员 以 令 人 惊 奇 的 速 度 创 建 出 富 应 用 。 最 近 一 段 时 间 ， J a v a S c r i p t 解 释 器 的 性 能 也 得 到 了 突 飞 猛 进 ， 从 而 几 乎 彻 底 消 除 了 企 业 对 其 可 扩 展 性 与 吞 吐 能 力 所 抱 持 的 疑 问 。 总 而 言 之 ， J a v a S c r i p t 如 今 已 经 成 为 一 款 极 为 重 要 且 强 大 的 语 言 ， 我 们 将 其 引 入 日 常 工 作 ， 从 客 户 端 W e b 应 用 编 码 到 通 过 N o d e . j s 实 现 的 服 务 器 端 开 发 ， 再 到 如 今 其 已 经 能 够 支 持 的 W i n d o w s   8 等 主 流 移 动 平 台 应 用 编 写 — — 甚 至 包 括 尚 未 正 式 推 出 的 F i r e f o x   O S 应 用 。 但 问 题 在 于 ， 很 多 开 发 人 员 仍 在 采 取 某 些 安 全 性 低 下 的 实 践 举 措 ， 这 将 导 致 大 量 客 户 端 攻 击 行 为 的 出 现 — — 而 其 中 最 臭 名 昭 著 的 当 数 D O M   X S S 攻 击 。 我 们 曾 努 力 了 解 这 类 问 题 的 根 源 ， 并 发 现 这 是 因 为 缺 少 充 足 的 实 践 性 工 具 帮 助 开 发 人 员 应 对 真 实 世 界 中 的 挑 战 。 因 此 ， 为 了 率 先 找 出 问 题 的 解 决 办 法 ， 我 们 在 这 里 向 大 家 推 荐 J S P r i m e ： 一 款 J a v a S c r i p t 静 态 分 析 工 具 。 它 极 具 轻 量 化 特 性 ， 且 只 需 点 击 操 作 即 可 轻 松 使 用 ！ 这 款 静 态 分 析 工 具 基 于 来 自 A r i a   H i d a y a t 的 高 人 气 E s p r i m a   E C M A S c r i p t 解 释 器 。 我 要 首 先 解 释 这 款 工 具 的 几 大 突 出 特 性 ： J S 库 源 与 输 出 识 别 多 数 动 态 或 者 静 态 分 析 器 皆 在 开 发 过 程 中 支 持 原 生 / 纯 J a v a S c r i p t 代 码 ， 这 种 作 法 对 于 大 多 数 开 发 人 员 都 是 种 难 以 解 决 的 问 题 ， 因 为 他 们 会 大 量 使 用 j Q u e r y 以 及 Y U I 等 J a v a S c r i p t 框 架 / 库 。 由 于 这 些 扫 描 工 具 能 够 支 持 纯 J a v a S c r i p t 代 码 ， 所 以 其 往 往 无 法 理 解 开 发 工 作 的 背 景 信 息 ， 这 是 因 为 使 用 这 类 库 时 会 造 成 大 量 假 阳 性 与 假 阴 性 误 报 。 为 了 解 决 这 一 难 题 ， 我 们 已 经 为 j Q u e r y 及 Y U I 识 别 出 了 各 类 高 危 用 户 输 入 源 与 代 码 执 行 输 出 功 能 。 从 最 初 版 本 开 始 ， 我 们 就 在 认 真 考 虑 如 何 确 保 用 户 能 够 轻 松 将 其 扩 展 至 其 它 框 架 。 变 量 与 函 数 追 踪 （ 这 项 功 能 作 为 我 们 代 码 流 分 析 算 法 的 组 成 部 分 ） 。 变 量 与 函 数 内 容 识 别 分 析 （ 这 项 功 能 作 为 我 们 代 码 流 分 析 算 法 的 组 成 部 分 ） 。 已 知 过 滤 器 功 能 识 别 。 遵 循 面 向 对 象 程 序 与 原 型 设 计 合 规 标 准 。
最 大 程 度 降 低 误 报 机 率 。 支 持 J a v a S c r i p t 代 码 精 简 。 极 高 运 行 速 度 。 只 需 点 击 即 可 操 作 。 未 来 将 陆 续 推 出 的 新 特 性 ： 通 过 混 合 型 分 析 自 动 实 现 代 码 反 混 淆 与 解 压 缩 （ 由 R a . 2 实 现 ， h t t p : / / c o d e . g o o g l e . c o m / p / r a 2 - d o m - x s s - s c a n n e r ） 。 E C M A S c r i p t 家 族 支 持 能 力 （ 包 括 A c t i o n S c r i p t   3 、 N o d e . j s 以 及 W i n J S ） 。 使 用 方 式 使 用 方 式 W e b 客 户 客 户 端 端 在 浏 览 器 中 打 开 " i n d e x . h t m l " 。 服 务 器 端 服 务 器 端 ( N o d e . J S ） ） 1 .   在 终 端 中 输 入 " n o d e   s e r v e r . j s " 。 在 浏 览 器 内 访 问 1 2 7 . 0 . 0 . 1 ： 8 8 8 8 。 下 载 安 装 地 址 下 载 安 装 地 址
在 E 安 全 微 信 公 众 号 回 复 “ J S 分 析 ” 即 可 获 取 下 载 安 装 地 址 E 安 全 / 文   转 载 请 注 明 E 安 全 E 安 全 — — 全 球 网 络 安 全 新 传 E 安 全 微 信 公 众 号 安 全 微 信 公 众 号 ：   E A Q a p p E 安 全 新 浪 微 博 安 全 新 浪 微 博 ： E A Q a p p E 安 全 安 全 P C 站 点 站 点 ： w w w . e a s y a q . c o m E 安 全 客 服 安 全 客 服 & 投 稿 邮 箱 投 稿 邮 箱 ： e a p p @ e a s y a q . c o m 点 击 下 方 ” 阅 读 原 文 阅 读 原 文 “ 即 可 下 载 安 装 E 安 全 a p p 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理