揪出混淆js中的api

原创

MicroPest
MicroPest

MicroPest

2026年8月12日 18:15
安徽

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

有这些场景：一是混淆后的js代码中的api；二是懒加载中的chunk；三是需要登录后才能加载的页面和模块。网络抓包能看到真实请求，却很难说明它来自源码中的哪一处；静态分析能找到 API 调用点，但要反混淆以及运行时确认最终请求了哪个 URL。这个点，研究了一下。

一、TraceSurface

TraceSurface: 发现藏在前端代码里的 API，验证未授权访问风险。

TraceSurface 是一款面向渗透测试、安全评估与 API 资产盘点的开源工具。给它一个站点，它会启动真实浏览器收集前端产物与路由，从 JavaScript 中提取隐藏的 API 调用，再做去除认证信息的主动重放，帮助定位未授权访问与弱鉴权问题。

传统目录扫描覆盖不到的角落——只存在于压缩后的 JS、懒加载 chunk、登录后路由或运行时 client 配置里的接口——正是它擅长的场景。

1. CDP 为每条真实 Fetch/XHR 保存发起栈帧的脚本 URL、行号和列号。
2. tree-sitter 提取 API 调用点，并记录它在源码中的精确位置区间。
3. 当栈帧坐标落入同一脚本的调用点区间时，两者被认定为同一处调用。
4. 已确认请求成为最强证据，为其余静态候选的 baseURL 绑定与分层推导提供锚点。

下载地址：https://github.com/pis10/TraceSurface

二、实践运用

（一）、针对“一是混淆后的js代码中的api；二是懒加载中的chunk；三是需要登录后才能加载的页面和模块“三个问题，我们来设计个”构造“网站。

红框中为两项功能测试，绿框中为两项功能展示。这里用到红框中功能。

（二）、怎么用？

1. 安装好TraceSurface

uv tool install https://github.com/pis10/TraceSurface/releases/download/v1.0.0/tracesurface-1.0.0-py3-none-any.whl
2. 部署好测试网站，如上图，localhost:22001
3. 用TraceSurface登录网页

1. tracesurface login http://localhost:22001

输入账号/密码进入页面，这里按回车保存登录状态到auth.json中

b. 触发js api，url为http://localhost:22001/api-demo

tracesurface scan http://localhost:22001/api-demo

加载起来查看下

404主要是页面中的api是”造“出来的，不是真实的，Response失败状态。

c. 触发 懒加载模块，url为http://localhost:22001/lazy-demo

三、总结

通过实际例子，我们利用 TraceSurface 对构造站点 http://localhost:22001 完成了一次完整的前端 API 发现：先用 tracesurface login 登录获取合法会话，再用 tracesurface scan /api-demo 启动采集。扫描器打开页面时，页面自动执行 api-client.js，真实发出 POST /api/v1/user/login、GET /api/v1/orders/list?page=1、DELETE /api/v1/coupons/delete/8 等 fetch / axios / XHR / jQuery 请求，这些请求包被工具在网络层一一截获；随后访问 /lazy-chunk 时，页面在运行时动态 import() 了 module-a.js、module-b.js 两个 chunk，工具也捕获到这两个按需加载的模块及其内部新发出的 /api/v1/reports/summary、/api/v1/reports/detail?id=42 等接口。由此我们直观地验证了 TraceSurface 的三条能力：自动采集页面运行时真正发出的接口、识别懒加载 chunk 内隐藏的 API、以及在已登录状态下发现受权限保护的后端接口——这正是从\"界面到资产\"梳理 Web 应用攻击面的有效路径。