网页敏感信息泄露检测：FindSomething浏览器插件实战指南-拓冰建站

网页敏感信息泄露检测：FindSomething浏览器插件实战指南

【免费下载链接】FindSomething基于chrome、firefox插件的被动式信息泄漏检测工具项目地址: https://gitcode.com/gh_mirrors/fi/FindSomething

在当今Web应用开发和安全审计中，敏感信息泄露已成为常见的安全隐患。FindSomething是一款基于Chrome和Firefox浏览器的被动式信息泄漏检测工具，能够在网页浏览过程中自动识别并提取源代码或JavaScript中的敏感信息。这款开源工具为开发者、安全研究人员和普通用户提供了一种高效、无侵入的方式检测潜在的安全风险。

为什么需要网页信息泄露检测？

在Web开发过程中，开发者常常会在前端代码中意外暴露API密钥、数据库连接信息、内部IP地址等敏感数据。这些信息一旦被恶意用户发现，可能导致数据泄露、服务被滥用甚至系统被入侵。传统的手动审查方式效率低下且容易遗漏，而FindSomething通过自动化检测解决了这一痛点。

FindSomething核心架构解析

插件配置文件：manifest.json

FindSomething的配置文件定义了插件的核心行为。作为Manifest V3规范的现代浏览器扩展，它声明了必要的权限和功能组件：

{ "name": "FindSomething", "version": "2.0.16", "manifest_version": 3, "description": "在网页的源代码或js中找到一些有趣的东西", "permissions": [ "tabs", "storage", "unlimitedStorage" ] }

关键配置包括：

内容脚本注入：自动在所有HTTP/HTTPS页面中运行content.js
后台服务：使用service worker处理数据存储和消息通信
权限管理：仅申请必要的标签页、存储和无限存储权限

内容脚本：content.js

这是插件的核心检测引擎，负责在网页上下文中执行信息提取。脚本通过分析页面HTML和JavaScript代码，使用正则表达式匹配多种敏感信息模式：

// 提取页面中的所有链接和脚本资源 var source_href = source.match(/href=['"].*?['"]/g); var source_src = source.match(/src=['"].*?['"]/g); var script_src = source.match(/<script [^><]*?src=['"].*?['"]/g);

脚本实现了智能URL处理逻辑，能够识别并规范化各种格式的URL，包括相对路径、绝对路径和协议相对路径。

后台处理：background.js

后台服务脚本包含了庞大的敏感信息正则表达式库，支持检测超过1000种常见API密钥、令牌和密码格式：

// 部分检测规则示例 var nuclei_regex = [ /["']?zopim[_-]?account[_-]?key["']?[^\S\r\n]*[=:][^\S\r\n]*["']?[\w-]+["']?/gi, /["']?zhuliang[_-]?gh[_-]?token["']?[^\S\r\n]*[=:][^\S\r\n]*["']?[\w-]+["']?/gi, /["']?zensonatypepassword["']?[^\S\r\n]*[=:][^\S\r\n]*["']?[\w-]+["']?/gi ];

实战场景：开发环境中的应用

前端代码安全审计

在开发React、Vue或Angular应用时，FindSomething可以帮助识别以下问题：

硬编码的API密钥：检测前端代码中直接写入的API密钥
内部服务地址泄露：发现暴露的内部IP和域名
调试信息残留：识别开发环境中未移除的调试日志和配置

渗透测试辅助工具

安全研究人员可以使用FindSomething进行初步的信息收集：

目标信息枚举：自动提取页面中的所有URL和资源路径
敏感配置发现：识别JWT令牌、OAuth密钥等认证信息
攻击面分析：了解目标应用的依赖关系和外部资源

安装与配置指南

从源码安装

对于需要定制化或本地开发环境的用户，可以从源码安装：

git clone https://gitcode.com/gh_mirrors/fi/FindSomething

安装步骤：

打开Chrome扩展管理页面（chrome://extensions/）
启用"开发者模式"
点击"加载已解压的扩展程序"
选择克隆的项目目录

配置白名单机制

FindSomething支持域名白名单功能，避免在特定站点上运行检测：

// 默认白名单配置 var urlWhiteList = ['.google.com','.amazon.com','portswigger.net']; // 用户可自定义白名单 chrome.storage.local.get(["allowlist"], function(settings){ if(settings && settings['allowlist']){ urlWhiteList = settings['allowlist']; } });