免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容均为外部优质项目，并非由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

一些ocrapi和相关辅助工具

OcrApi/
├── dddd_ocr_api/          # DDDDOCR 验证码识别 API（Python/Flask）
├── llm_ocr_api_py/        # LLM 大模型 OCR API（Python/FastAPI）
├── llm_ocr_api_go/        # LLM 大模型 OCR API（Go/Gin）
├── llm_ocr_api_go_v2/     # LLM + DDDDOCR 混合 OCR API（Go/Gin）
├── ruoyi_login/           # 若依登录爆破工具（Python）
├── ruoyi_login_go/        # 若依登录爆破工具（Go）
├── other_ocr/             # 其他 OCR 引擎 API 集合
│   ├── easy_ocr_api/      #   EasyOCR 多语言识别
│   ├── paddle_ocr_api/    #   PaddleOCR 百度飞桨识别
│   ├── pytesseract_ocr/   #   Tesseract OCR 识别
│   └── rapidocr_api/      #   RapidOCR 轻量识别
├── BurpPluginsAPI/        # Burp Suite 插件适配服务端
│   ├── captcha-killer/    #   captcha-killer 插件服务端
│   └── xiapao_server/     #   瞎跑插件服务端（多引擎）
├── deprecated/            # 已废弃模块
│   └── muggle_ocr_api/    #   Muggle OCR（已失效）
├── yzm_calc/              # 计算型验证码样本图片
└── yzm_num/               # 纯数字验证码样本图片

OcrApi: My Any OCR API
https://github.com/winezer0/OcrApi

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非全部由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

zipany

一个基于 Go 语言的跨平台目录打包压缩工具，支持 tar.gz 格式，提供灵活的文件过滤规则和预设配置。

特性

• ✅ 跨平台支持 - Windows、Linux、macOS 全平台兼容

• ✅ tar.gz 格式 - 通用格式，解压速度快，兼容性好

• ✅ 配置文件管理 - YAML 配置文件，支持黑白名单过滤规则

• ✅ 预设配置 - 内置多种打包预设，支持自定义预设

• ✅ 安全保护 - 自动跳过软链接，防止路径穿越攻击

• ✅ 智能过滤 - 支持按文件扩展名、目录名过滤

• ✅ 空目录跳过 - 支持跳过无用的空目录

• ✅ 结果校验 - 打包完成后自动校验文件并输出统计信息

安装

从源码编译

git clone https://github.com/winezer0/zipany.gitcd zipany go build -o zipany .

快速开始

基本用法

# 打包目录（使用默认配置，自动生成输出文件名）zipany -s ./project# 打包目录（指定输出文件）zipany -s ./project -o ./project.tar.gz# 使用配置文件zipany -s ./project -o ./project.tar.gz -c config.yaml# 使用 PHP 预设zipany -s ./project -o ./project.tar.gz -p php# 使用命令行扩展名过滤 白名单模式打包zipany -s ./project -o ./project.tar.gz -p "ext:php,tpl,vue"  -w

分片压缩

因为 gzip 的压缩字典是跨文件的，要直接生成完全独立的可单独解压的多个 .tar.gz 较为复杂，且在很多场景下解压并不兼容。

流级别分片可以将输出的压缩包自动截断为 .part1 , .part2 等文件，解压前只需要用 cat archive.tar.gz.part* > archive.tar.gz 合并即可。

# 生成普通不分片压缩包
zipany -s /path/to/source -o output.tar.gz
# 将压缩包限制在最大 100MB，如果超出则会生成 output.tar.gz.part1, output.tar.gz.part2 ...
zipany -s /path/to/source -o output.tar.gz -S 100

解压分片压缩包方法（系统内置）：

Windows 命令行：

copy /b output.tar.gz.part* output.tar.gz
tar -xzf output.tar.gz

Linux/Mac 命令行：

cat output.tar.gz.part* > output.tar.gz
tar -xzf output.tar.gz

生成默认配置文件

zipany --gen

这将生成一个 zipany.yaml 配置文件，包含默认过滤规则和预设配置。

列出所有预设

zipany --list

这将输出当前配置文件中所有可用的预设名称。

命令行参数

配置文件

配置文件结构

# 预设配置示例presets:  php:    description: "常见的 PHP 保存方案"stored_ext:       - php       - tpl       - vueignore_ext:       - jpg       - png       - mp3       - mp4ignore_dir:       - ".cache"       - "tmp"       - "node_modules"       - "vendor"

配置说明

白名单模式 (stored_ext)

• -w 启用白名单模式

• 只保留指定扩展名的文件

• 其他所有文件都会被排除

黑名单模式 (ignore_ext, ignore_dir)

• 默认使用黑名单模式

• 排除 ignore_ext 中指定的文件扩展名

• 排除 ignore_dir 中指定的目录名

• 其他文件和目录都会被包含

预设配置

程序内置了 多种预设， 示例 php 预设，适用于 PHP 项目打包：

• 保留文件

  : .php, .tpl, .vue

• 忽略文件

  : 图片 (jpg, jpeg, png, bmp, gif, webp)、音视频 (mp3, mp4, avi, mov, wmv)、压缩包 (zip, rar, 7z)

• 忽略目录

  : .cache, .temp, tmp, temp, .git, node_modules, vendor

使用示例

示例 1: 打包 PHP 项目

# 使用 PHP 预设打包zipany -s /var/www/myapp -o /backup/myapp.tar.gz -p php

输出：

使用配置文件：config.yaml
源目录：/var/www/myapp
输出文件：/backup/myapp.tar.gz
使用预设：php
过滤规则已启用
开始打包...
打包完成!
  输出文件：/backup/myapp.tar.gz
  文件大小：2.35 MB
  文件数量：156
  目录数量：23

示例 2: 使用自定义配置文件

# 生成配置文件zipany --gen# 编辑 zipany.yaml，添加自定义规则# 使用自定义配置打包zipany -s ./src -o ./output.tar.gz -c myconfig.yaml

示例 3: 打包时跳过空目录

# 跳过空目录zipany -s ./project -o ./project.tar.gz --se

构建发布版本

# WindowsCGO_ENABLED=0 GOOS=windows GOARCH=amd64 go build -o zipany.exe .# LinuxCGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -o zipany .# macOSCGO_ENABLED=0 GOOS=darwin GOARCH=amd64 go build -o zipany .

常见问题

Q: 如何排除特定大小的文件？

A: 当前版本不支持按文件大小过滤，可以通过 Issue 提出此需求。

Q: 支持 zip 格式吗？

A: 当前仅支持 tar.gz 格式，未来版本可能会添加其他格式支持。

Q: 配置文件放在哪里？

A: 程序会在当前工作目录和/.config/目录，自动查找 zipany.yaml文件， 未找到配置文件路径时默认使用内置配置文件，也可以使用 -c 参数指定路径。

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非全部由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

前言

由于发现 CodeStatistics 在日常使用时，发现还需要进行一些无用代码清理操作，因此在 CodeStatistics 包的的基础上加入了基于预设模式的代码清理功能和js格式化功能。

CodeCleaner - Go 代码文件清理工具

一个基于 Go 语言开发的命令行程序，用于清理指定目录及其子目录中的非代码文件，并且也支持文件数量和后缀类型统计。

功能特性

• 支持文件数量和类型统计模式

• 根据预设规则或自定义规则删除非代码文件

• 支持空文件检测、空目录检测, 删除无用路径

• 提供预览模式（Dry Run）

• 默认黑名单模式(仅移除指定后缀或预设后缀)

• 支持白名单模式(仅保留指定后缀或预设后缀)

• 后缀配置时, 支持使用 none 表示 无后缀文件

• 支持 JS 代码格式化 (依赖 node js-beautify)

• 使用 YAML 配置文件 实现预设的清理和存储后缀

# 统计模式 统计目录下各种后缀频率 常用
./codecleaner -p path/to/src/dir -s


# 统计模式 统计每个目录下文件数量 极少使用
./codecleaner -p path/to/src/dir -S


# 使用 Go 预设清理源码目录 黑名单模式（仅移除预设中 remove 键中指定的文件类型）
./codecleaner -p path/to/src/dir -P go 


# 使用 Go 预设清理源码目录 白名单模式（仅保留预设中 stored 键 指定的文件类型）
./codecleaner -p path/to/src/dir -P go -w


# 预览模式，仅显示操作,但是不实际进行删除
./codecleaner -p path/to/src/dir -P go -d


# 使用 自定义后缀清理目录 黑名单模式（移除ext:指定的 js html后缀文件类型, 移除 dir:指定的目录名）
./codecleaner -p path/to/src/dir -P ext:js,html,dir:temp


# 使用 自定义后缀清理目录 白名单模式（保留ext:指定的go后缀文件类型, 移除dir:指定的目录名）
./codecleaner -p path/to/src/dir -P ext:go,env,dir:temp -w



注意: dir:关键字当前只支持声明需要移除的目录, 和配置文件中的rmdirs键相同

项目地址

https://github.com/winezer0/CodeCleaner

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非全部由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

前言

这是一个实际似乎没有什么用的、但是SQLI过程中有想过几次的小工具。

开发目标是用于自动化检测sql注入时的关键字是否被过滤，但由于实际过程中（由于不同场景下比较难以完全适配）还需要手动拼接sql语句检测方法。大部分场景下不如直接使用dbkeys_<dbtype>.csv 中的语法关键字，再使用yakit或burp进行重放检测。

SQL 注入关键字检测工具

本项目包含一个带有关键字过滤功能的演示服务端和一个 SQL 关键字检测工具，用于测试 SQL 注入漏洞的关键字过滤情况。

sqlichecker关键参数

Usage: sqlichecker [OPTIONS]
Application Options:
  -r, --req:               HTTP 请求包文件路径
  -k, --keys:              关键字 CSV 文件路径或数据库类型
                            （mysql/mssql/oracle/postgresql/sqlite）
  -e, --expr:              检测表达式
                            变量：keyword, keylength, resp_text, resp_time
                            操作符：contains, in, + - * / == != < > and or not
                            函数：length, counts

请求包占位符

请求文件为标准 HTTP raw 格式（首行方法+路径+协议，header 区，空行，body 区）。 支持以下占位符：

表达式语法（-e 参数）

底层基于 antonmedv/expr 库，contains和in是内置操作符，直接使用即可。

表达式支持无引号简写：contains 和 in [...] 中的字符串字面量可以省略引号，预处理会自动补全。已知变量名（keyword/keylength/resp_text/resp_time）和数字不会被误加引号。

可用变量

内置操作符

自定义函数

请求包与表达式组合示例

1. 报错注入

请求包（demo/request_error.txt）：

GET /filtered_error_based?id=1%20AND%20EXTRACTVALUE(1,CONCAT(0x7e,'$KEYWORD$',0x7e))-- HTTP/1.1

表达式：

-e 'counts(resp_text, keyword) > 0'

判断：

• 关键字未过滤：响应中含 ~关键字~ 的 XPATH 错误

• 关键字已过滤：响应中显示 ~~（关键字被替换）

2. 时间注入

请求包（demo/request_time.txt）：

GET /filtered_time_based?id=1%20AND%20IF(LENGTH('$KEYWORD$')>=$KEYLENGTH$,SLEEP(3),0)-- HTTP/1.1

表达式：

-e 'resp_time > 4.5'

判断：

• 关键字未过滤：IF 条件为 true，MySQL 执行 SLEEP(3)，加上 Scan 失败分支 sleep(3)，总耗时约 6 秒

• 关键字已过滤：IF 条件为 false，MySQL 不执行 SLEEP，仅 Scan 失败分支 sleep(3)，总耗时约 3 秒

3. 布尔注入

请求包（demo/request_bool.txt）：

GET /filtered_boolean_based?id=1%20AND%20LENGTH('$KEYWORD$')>=$KEYLENGTH$-- HTTP/1.1

表达式：

-e 'resp_text contains "success"'

判断：

• 关键字未过滤：查询条件成立，返回 {"status":"success"}

• 关键字已过滤：条件失效，返回 {"status":"error"}

4. 联合注入

请求包（demo/request_union.txt）：

GET /filtered_union_based?id=-1%20UNION%20SELSELECTECT%201,'$KEYWORD$',3-- HTTP/1.1

表达式：

-e 'counts(resp_text, keyword) > 0'

注意：联合注入当前在集成测试中被 skip，因为请求包中含有字面量 SELECT，被服务端一并过滤后 SQL 子句不合法，过滤前后均为 MySQL 错误，无法通过内容区分。

项目地址

https://github.com/winezer0/sqlifilter

注意事项

• 本项目仅用于学习和测试目的，请勿用于未经授权的系统

• 服务端包含故意设置的安全漏洞，请勿在生产环境中使用

• 检测工具仅用于演示 SQL 注入检测的基本原理

• URL 编码会自动应用于关键字，确保请求正确传输

• 默认跳过 SSL 证书校验（自签证书场景）；生产场景请启用 --verify-ssl

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非全部由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

CodeStatistics

CodeStatistics 是一个强代码统计工具，用于分析项目中的代码文件并生成详细的统计报告。 主要是是通过预设逻辑来进行配置

功能特点

• 代码行数统计

  ：统计项目中的总行数、代码行数、注释行数和空行数

• 文件类型分析

  ：区分不同类型的文件（基于文件扩展名）

• 灵活的过滤机制

  ：支持白名单和黑名单机制，可以指定要包含或排除的文件类型和目录

• 报告生成

  ：可以生成CSV格式的统计报告

白名单和黑名单

默认白名单（代码文件）

工具内置了常见的代码文件扩展名白名单配置，包括：

• 编程语言文件：.go, .java, .c, .cpp, .py, .js, .ts 等

• 模板语言文件：.vue, .svelte, .jsx, .tsx 等

• 前端语言文件：.html, .htm 等

• 脚本语言文件：.sh, .bash, .bat, .cmd 等

默认黑名单（非代码文件）

工具内置了常见的非代码文件扩展名黑名单，包括：

• 数据库文件：.sql, .mysql 等

• 标记和配置语言文件：.xml, .css, .json, .yaml 等

• 构建和配置文件：.mk, .cmake 等

• 文档文件：.md, .rst, .tex 等

• 图片文件：.jpg, .png, .gif 等

• 音视频文件：.mp3, .mp4, .avi 等

• 压缩文件：.zip, .rar, .7z 等

• 工具默认会跳过以下目录： .git, node_modules, vendor, .svn, .hg, target, build, dist, .idea, .vscode

示例

基本分析

./CodeStatistics --path ./myproject

生成CSV报告

./CodeStatistics --path ./myproject --output stats.csv

自定义白名单

./CodeStatistics --path ./myproject --white-add .custom,.special

自定义黑名单目录

./CodeStatistics --path ./myproject --bdir-add cache,temp

输出示例

代码统计摘要:总文件数: 120总行数: 15000代码行数: 10000 (66.7%)空行数: 3000 (20.0%)注释行数: 2000 (13.3%)文件类型分布:.go: 50 文件, 5000 行 (33.3%).js: 30 文件, 4000 行 (26.7%).html: 20 文件, 3000 行 (20.0%).css: 15 文件, 2000 行 (13.3%)其他: 5 文件, 1000 行 (6.7%)

项目地址

https://github.com/winezer0/CodeStatistics

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非全部由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

前言

由于cdnAnalyzer 太难拼了，因此在实现基于 ipinfo 包的 ip db 支持时，将本项目修改为 cdninfo。

cdninfo

CDN Check On Golang

目前最完善的CDN分析工具, 便于快速筛选CDN资产信息, 基于IP、ASN、CNAME、IP归属地等多种方案进行分析.

更新说明 2026-04-28

• 添加 mmdb ipdb dat xdb 等后缀格式的ip数据库支持

• 添加 mmdb、csv等后缀格式的ip asn数据库支持

• 更多类型数据库欢迎他提供数据源到 ipinfo 项目

• ipinfo 包项目地址 https://github.com/winezer0/ipinfo

注意：由于已经更新了程序名称，建议移除 %usernmae%/cdnAnalyzer 目录。

支持的数据库格式

IP 地理位置数据库

ASN 数据库

项目地址

https://github.com/winezer0/cdninfo

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非全部由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

ipinfo

IP 地理位置与 ASN 信息查询工具集，支持多种数据库格式，提供 Go 包调用和 HTTP API 服务。

支持的数据库格式

IP 地理位置数据库

ASN 数据库

项目结构

ipinfo/
├── pkg/                     # 核心功能包
│   ├── iplocate/            # IP 地理位置查询接口与实现
│   ├── asninfo/             # ASN 信息查询接口与实现
│   ├── queryip/             # 统一查询引擎（组合 IP + ASN）
│   ├── iputils/             # IP 工具函数
│   ├── logging/             # 日志模块
│   └── utils/               # 通用工具
├── cmd/                     # 可执行程序
│   ├── iplocate/            # 命令行 IP 查询工具
│   ├── iplocate2/           # 命令行工具（多数据库版本）
│   └── ipinfoapi/           # HTTP API 服务
└── assets/                  # 数据库文件目录

项目地址:

https://github.com/winezer0/ipinfo

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文仅供学习参考。

0X01 目标页面的安全措施

1、反调试
2、JS混淆
3、基于报文内容和时间戳的签名

0X02 反调试及绕过

按F12进入开发者模式时，触发debugger

直接使用0xsdeo 大佬的AntiDebug Breaker插件，开启BypassDebugger，然后刷新页面，此时已经可以正常调试。

AntiDebug_Breaker项目地址：

https://github.com/0xsdeo/AntiDebug_Breaker

注：感谢0xsdeo大佬开源生产力加速工具。

0X03 JSRPC方案介绍

JSRPC（JavaScript Remote Procedure Call） 核心是：把浏览器当作一个远程 JS 执行引擎，外部程序（Python/Go/Java 等）通过网络（WebSocket/CDP）调用页面里的 JS 函数，拿到结果，主要用于 JS 逆向、爬虫、自动化 场景。

JSRPC 核心优点

1. 完全免逆向、免抠代码、免补环境
2. 开发效率极高
3. 抗更新、抗混淆
4. 支持强依赖浏览器的场景
5. 可直接调用网站内部状态

JSRPC 核心缺点

1. 必须启动并保持浏览器运行（最大缺点）
2. 性能低于本地执行（1～2 个数量级）
3. 页面刷新 / 跳转 → 状态丢失
4. 稳定性依赖页面与反爬机制
5. 调用链路比较复杂、排错难
6. 不适合超高频 / 超低延迟场景
7. 部署与运维比较麻烦

JSRPC项目地址 

https://github.com/jxhczhl/JsRpc

注：感谢jxhczhl大佬开源生产力加速工具。

本次JSRPC调用链路：

Mitm插件<->JSRPC服务服务端<->WS协议<->浏览器<->目标JS

本次目标的实现思路：

1、前端调试JS找到签名函数的调用
2、将签名函数提升为全局函数
3、注册签名函数到JSRPC服务端
4、编写MITM签名实现调用插件调用JSRPC服务端的签名函数

具体调试和实现：

1、通过前端调试查找签名算法：

本页面登录时会进行签名算法调用，因此通过调试登录接口进行算法分析。

本次使用网络通信的登陆包的发起程序，从上到下逐个断点调试，从而分析发出登陆包的算法信息。

双击js文件跳转到对应的实际代码中，并点击左侧栏开启断点。

开启断点后，重新按登陆按钮，触发登陆操作，此时程序自动暂停，并在右侧展示出本次的堆栈信息。

从上到下对堆栈触发代码逐个断点，然后不断下一步，看看是什么时候会在变量内容中出现加密后的内容。

详细的简单堆栈调试步骤记录如下：

(匿名) (chunk-vendors.045712e0.js:51)

代码为p.send(d) 最后的发送http请求，不包含加密算法。

push.b50d.e.exports (chunk-vendors.045712e0.js:51)  

代码为return new Promise((function(t, n)

进行断点，并重新触发登陆操作，发现此时右侧的本地变量中，headers部分已经存在签名数据了，因此加密算法还在更前面。

push.5270.e.exports (chunk-vendors.045712e0.js:20)

代码为 return t(e).then((function(t) 

进行断点，并重新触发登陆操作，发现此时右侧的本地变量中，headers部分已经存在签名数据了，因此加密算法还在更前面。

Promise.then

push.0a06.c.request (chunk-vendors.045712e0.js:1)

代码为 n = n.then(t.shift(), t.shift());

进行断点，并重新触发登陆操作， 发现此时右侧的本地变量中，headers部分不存在签名数据了，因此加密算法肯定会在 n.then(t.shift(), t.shift()); 此处代码中进行调用

按F9/F10/F11等键或点击下一步图标进行调试，看看什么时候会出现生成的sign数据。

经过不断的点击和等待，此时已经发现a 就是签名数据：

保持断点状态，并打开控制台开始手动调试和分析p["a"][d(992, 594, 924, 888, 505) + d(716, 381, 611, 893, 456) + x(1111, 1347, 1333, 1579, 1452)](e); 中每个字段的内容信息

JS中可以用 .xxx 代替 [xxx]函数的调用，因此最终的签名算法就是：p.a.getBaseHeader(e)

通过查看e的结构，并对比请求报文，我们了解了e的构成是一个由部分有效请求头和请求体信息组成的特定格式的json数据，后续直接向p.a.getBaseHeader传递由请求信息解析出的json数据即可实现签名计算。

2、将加密算法提升到全局函数

最后，将p.a对象通过赋值给全局变量window，从而让用户能够通过window对象调用签名算法

并在源代码页面中，取消或者删除其他的断点，仅保留签名算法前的断点，便于后续直接调到签名算法的调用部分。

3、使用JSRPC进行加密算法调用

使用jsrpc需要进行如下步骤：

1、启动jsrpc服务端，用于监听客户端浏览器的链接。

jsrpc_window_amd64.exe

2、打开浏览器控制台，注入jsrpc客户端环境代码，并连接到jsrpc服务端

1.关闭页面并重新打开网页和控制台窗口

2.注入JsEnv_De.js

打开/resouces/JsEnv_De.js文本内容，复制内容更浓粘贴到网站控制台，如果存在回显表示jsrpc环境已经注入成功，存在报错或者卡顿就关闭浏览器进行重试。

3. 连接到jsrpc服务端

控制台继续执行如下命令，服务端接收到响应说明链接成功

var demo = new Hlclient("ws://127.0.0.1:12080/ws?group=zzz");

注意：浏览器有时会拦截提示ws的弹框动作，需要点击运行按钮。

4.可选，注册一个简单的函数进行jsrpc功能测试

//简单的测试函数，返回base64值的接口

demo.regAction("hello2", function (resolve,param) {
    console.log(param);
    var base666 = btoa(param)
    resolve(base666);
})

//本机任意浏览器访问接口，获得js端的返回值，

http://127.0.0.1:12080/go?group=zzz&action=hello2&param=123456

此时说明jsrpc环境已经基本完成，需要注册具体的算法到jsrpc服务中

4、将签名算法注册到jsrpc服务中，便于用户通过http服务调用。

1. 断点到算法代码

开启控制台和调试断点并点击登录，此时将会自动断点到算法所在函数，此时算法相关代码已经被浏览器完全加载。

2. 在控制台执行函数提升函数权限

window.sign=p.a

//测试加密函数是否升级全局成功

sign.getBaseHeader(e).signatureStr

3. 编写并注册简单的签名函数调用算法注册

demo.regAction("sign", function(resolve, param) {
    try {
        // 1. Base64 解码
        var s = atob(String(param));
        //console.log("解码成功:", s);
        // 2. 解析JSON并获取签名字符串
        let res = window.sign.getBaseHeader(JSON.parse(s)).signatureStr;
        // 3. 成功返回结果
        resolve(res);
    } catch (error) {
        // 任何一步报错，都返回 "error"
        //console.error("签名执行失败:", error);
        var s = String(error);
        resolve(s);
    }
});

由于本算法是使用的json格式作为参数，为了防止json编码错误，因此设计 param 传入base64编码后的json内容，后续的插件中需要调用 访问接口，获得js端的返回值

//签名调用接口

http://127.0.0.1:12080/go?group=zzz&action=sign&param={base64编码的json内容}

注意: 可以自己先将e值对应的json进行拷贝，然后进行base64编码，访问http://127.0.0.1:12080/go?group=zzz&action=sign&param=xxx 

进行初步测试，确保算法正确。

4. 放行断点，不再阻塞。

注意：如果此时提示获取结果超时，就是由于控制台还在进行断点调试导致的问题。 

5. 编写burpsuite插件或其他mitm插件，实现对客户端发送来的请求进行签名重新计算

此处使用的是 EditHttpMsgDemoWithUI 项目，该项目已经实现了比较完善的UI和常用的过滤方案，只需要用户自己实现报文修改操作即可实现签名重写。

https://github.com/winezer0/EditHttpMsgDemoWithUI 

让AI参照上文中e的json格式，对Burpsuite IHttpRequestResponse messageInfo对象进行了内容提取，实现了简单的java代码编写，

由于每个场景的算法不同，此处仅提供远程remoteSign调用的示例代码，具体的报文修改代码没有粘贴。

/**
 * 远程签名接口调用（自动解析返回JSON，取 data 字段）
 */
private String remoteSign(String input) {
    if (input == null || input.isEmpty()) {
        return "";
    }
    CloseableHttpClient client = HttpClients.createDefault();
    try {
        // 1. Base64 编码
        String base64Param = Base64.getEncoder().encodeToString(input.getBytes(StandardCharsets.UTF_8));
        // 2. 拼接请求地址
        String url = "http://127.0.0.1:12080/go?group=zzz&action=sign&param=" + base64Param;
        // 3. 发送 GET
        HttpGet get = new HttpGet(url);
        CloseableHttpResponse response = client.execute(get);
        // 4. 获取接口返回的 JSON 字符串
        String jsonResult = EntityUtils.toString(response.getEntity()).trim();
       // 5. 【关键】解析 JSON，提取 data 字段
        JsonNode jsonNode = objectMapper.readTree(jsonResult);
        String signData = jsonNode.get("data").asText();
        // 关闭资源
        response.close();
        client.close();
        // 只返回 data 部分
        return signData;
    } catch (Exception e) {
        e.printStackTrace();
        return "";
    }
}

6. 加载插件进行使用

在repeater模块进行请求测试，在logger模型查看最终发送的请求报文，通过请求响应判断算法是否正确。

0X05 JSRPC方式下的程序缺陷与解决

本项目场景下，由于具体的签名函数处于非全局函数，导致每次注册函数前都需要先进行手动调试，因此重复劳动时会有点冗余。

相对于其他的JSRPC场景，本场景下如果想要实现全自动化的JSRPC客户端注册，需要实现

自动启动浏览器、
自动定位调试位置、
自动开启调试、
自动注入JS代码、
自动校验函数是否可以被调用成功、
自动继续运行

当这几步骤实现自动化后，即可实现适配于几乎所有场景的JSRPC客户端的注册，其中最难的是如何自动化实现调试暂停的功能。

经过研究现有的开源项目，没有找到相关的案例技术文章，因此笔者进行了多种浏览器自动化项目的研究。

最终发现可以通过CDP协议远程操作浏览器开启调试和继续运行，并通过执行JS进行校验，从而解决每次JSRPC客户端注册必须手动debug的问题。

程序设计逻辑：

打开浏览器CDP
  通过访问CDP监听端口检测浏览器是否开启CDP调试
  若不可访问，自动启动 Chrome 并开启 CDP 调试端口。



通过CDP连接浏览器并打开页面
  连接页面级 WebSocket。
  打开目标页面并等待加载完成。



开始进行断点
  收集页面脚本 URL 和 Debugger.scriptParsed 事件。
  优先使用 Debugger.getScriptSource 获取脚本源码。
  当未拿到 scriptId 时，自动回退到 httpx 下载脚本源码。
  依据目标代码片段定位断点位置并设置精确断点。



触发断点调试
  刷新页面触发暂停。
  在暂停上下文中执行提升脚本，得到可用的签名函数。



注入JS代码
  注入 js_env.js。
  读取 reg_action.js 注册 sign 动作。
  读取 reg_action_verify.js 校验动作是否注册成功。
  读取 promote_func_verify.js 验证签名函数是否可用。



恢复浏览器执行
  恢复浏览器执行并保持连接一段时间。

jsrpc_by_cdp_python: 
通过cdp实现全自动jsrpc客户端注册: 
https://github.com/winezer0/jsrpc_by_cdp_python

全自动化JSRPC注册方案优势：

只需要手动调试一次程序，找到加密算法调用。
能够全自动化实现jsrpc客户端的注册。
适用于非全局加密函数的调用。
通过无头浏览器模式可以减少内存占用。

注：当前程序是基于目标网站的场景实现的较复杂版本，对于全局可调用函数可以跳过断点和刷新页面部分，具体可以根据实际的场景进行设计。

注：对于自动化场景下的反调试问题，本次是直接在CDP连接的浏览器中安装并启用了AntiDebug_Breaker插件，未通过JS注入实现反反调试功能。

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非全部由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

项目介绍

Copier 是 Burp Suite 的一个扩展，允许用户轻松复制请求和回复，同时使用自定义规则进行自动修改。使得请求和响应可以轻松复制到报告中，无需编辑去大 Cookie 值、多余的头部或敏感数据

原项目仅支持Copy清理后的报文，但没有提供文件保存功能，在原项目的基础下，实现了批量报文保存功能。

我的使用主要是实现一些批量报文的保存。

扩展功能

1、允许正则替换内容框为空
2、增加 LocateRule, 用于标记仅提取 Location部分报文
3、增加 EnabledBase64, 用于确定是否对报文内容进行Base64编码
4、增加 jsonFormat框 , 用于确定是否输出Json格式的结果
5、支持多种方式保存【剪贴板、单文件、多文件】

常用配置：复制请求行和响应体

原项目地址

https://github.com/Tib3rius/Copier

https://github.com/winezer0/Copier-Branch

注意：该插件使用的是高版本 montoya-api Jdk 较高版本语法 需要使用新版burp (2024+)

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非由全部本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

功能特点

批量检测: 支持批量验证 OpenAI 和 Anthropic API Key 的有效性

模型获取: 自动获取每个有效 API Key 可用的模型列表

智能测试: 测试模型的智能度并缓存结果

安全存储: 使用机器码或用户自定义密码加密存储配置，确保敏感信息安全

聊天调试: 内置聊天窗口，可直接与模型对话进行调试

快速复制: 双击表格单元格快速复制 API Key 或 Base URL

多协议支持: 支持 OpenAI、Anthropic 及兼容 OpenAI API 格式的自定义 API

提示词配置: 可自定义测试提示词，用于智能度测试

启动密码保护: 可设置启动密码，防止未授权访问 API Key

支持的协议

OpenAI

Anthropic

兼容 OpenAI API 、Anthropic API格式的自定义 API

安全说明

API Key 使用 AES-GCM 加密算法进行加密存储，加密密钥为空时由机器码派生，只有在当前机器上才能解密查看 API Key 内容，其他情况下由用户自定义的启动密码作为加密密钥，从而实现不同机器的配置迁移。

项目地址：

apichecker: ai api checker or simple clm client · GitHub:
https://github.com/winezer0/apichecker

注：当前仅测试了Qwen等类openai接口的实现。

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非全部由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

虽然现在已经有很多动态的加解密插件项目，但是部分项目下还是需要将算法修改代码写入到单个插件中，方便下次直接复用。

最近遇到了这个需求，因此又开启了以前停止更新的EditHttpMsg项目，并添加实现了常用的UI过滤配置。

使用方式：

1. 下载项目代码 并使用idea加载
2. 实现 ProcessAction.java 中的 updateBodyData 函数
3. 重命名 config.java中的EXTENSION_NAME信息
4. 使用 mvn 命令或 idea maven插件进行编译打包 
5. 使用 Burp 进行加载调试

EditHttpMsgDemoWithUI 项目地址：

https://github.com/winezer0/EditHttpMsgDemoWithUI

提示：该项目只是一个便于实际场景中打开即用的空白架构，因此还携带了一些IDEA信息，具体的修改内容还需要用户去实现。

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容并非全部由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

忙碌是生活的代名词，有很多东西想写，但是想想还要润稿，就只能缓缓了。

revsuit是一款多协议的oob log记录器，在我的VPS上一般都会部署一个revsuit用于手动dns测试。

revsuit的优点是支持多种协议，缺点就是功能比较复杂，更高阶的SSE使用我也咩有用过。 

如果有更高阶的使用方案，欢迎大家投稿。

最近在新的VPS上进行部署时，发现qqwry的下载链接已经失效，上一次更新也好几年了，然后手动进行些修复，并且准备接手对进行维护。

项目地址：

https://github.com/winezer0/revsuit/releases

历史文章：

DNSlog搭建-单域名单接管部署RevSuit

配置afrog的RevSuit

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，本文所推荐内容为内部项目，由本团队开源实现。本系列文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

xcanvas

轻量级、无依赖、可嵌入的代码画像引擎，面向 DevSecOps 场景，提供标准化的项目技术栈识别能力。

核心价值

✅ 快速构建项目画像：输出语言、框架、组件三元组

✅ 规则驱动：新增框架/组件仅需更新 YAML 配置，无需重新编译

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容均为外部优质项目，并非由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

PrivacyCheckGo是之前开源的一个敏感信息检测工具，目标是快速检查出文件中的敏感信息，并希望能够完全兼容HAE规则格式。

历史文章【工具】PrivacyCheckGo：轻量级敏感信息检测工具

由于Go中对Java的一些正则规则不支持，导致部分规则会验证不通过，仔细搜寻发现也没有完美的方案解决规则兼容性的问题。

error regexp: invalid or unsupported Perl syntax: (?!

Regexp2引擎 是一个功能丰富的 Go 常规 Exp 引擎。它不像内置包那样有恒定时间保证，但允许回溯，并且兼容 Perl5 和 .NET。

https://github.com/dlclark/regexp2
基于.NET引擎的纯Go正则表达式的完整引擎

最后的解决方案：使用Go内置RE引擎和Go第三方regexp2引擎实现多引擎功能，从而能够支持全部的GO语言正则规则和大部分的.Net Java语言正则规则。再添加规则测试样例代码和测试报告机制，让用户能够快速发现错误的规则，并进行修复。

更新记录：

规则引擎增强：为所有规则添加 engine 字段，支持指定正则引擎

免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].

注：本文属于推荐系列文章，所推荐内容均为外部优质项目，并非由本团队开源实现。文章旨在分享各类优质项目，提升其关注度与影响力，文中观点仅代表作者个人看法。若您有更合适的替代项目，欢迎在留言区推荐分享，共同推荐优质项目资源。

X-SAST 是当前公开的第一款基于规则的多语言GUI代码审计工具。

具体功能信息可以查看历史文章: 

X-SAST 轻量、快速、多语言、代码审计工具

开源地址

https://github.com/winezer0/XSAST-Python