最近在做一次大规模网站资产梳理，有个需求特别具体：需要从成百上千个业务系统中，快速提取出埋藏在页面和JS里的敏感信息，比如API密钥、硬编码的密码、邮箱、手机号，还有系统使用的技术框架指纹。
之前一直习惯用浏览器插件，比如findsomething，但最近它搞起了付费墙，一些核心功能需要会员，用起来有点束手束脚。为了找个能平替的开源方案，我翻了一圈，最后试用了下SnowEyes。
现在很多前端页面都是用React、Vue这些框架做的，敏感信息往往是通过JavaScript动态加载渲染出来的，传统的静态爬虫或者简单的插件根本抓不到。SnowEyes 能直接运行在浏览器环境里，相当于有了一个"第一视角"，页面上最终呈现出来啥，它就能抓到啥，这个优势很明显。
另一个实用的点是它的深度扫描模式。有些网站为了性能，会把JS文件打包、嵌套，甚至动态加载其他脚本。普通扫描可能就扫一层，但雪瞳能顺着JS的依赖关系往里挖，确保那些被层层包裹的接口地址、配置文件路径能被抓出来。在做红队演练的信息收集阶段，这个功能帮我发现了不少藏在深层JS里的测试接口和内网地址，这些都是宝贵的攻击入口。
网络安全关键技术点分析
-
基于真实用户环境的上下文信息获取
- 传统的信息收集工具（如爬虫、命令行扫描器）是从"外部观察者"的视角发起请求，其请求头、User-Agent、会话状态等可能与真实浏览器环境存在差异，容易被WAF或反爬机制识别和拦截。SnowEyes这类浏览器插件的核心优势在于，它直接运行在真实的浏览器渲染引擎中。这意味着它的每一次信息探测请求，都携带了与该浏览器完全一致的Cookie、HTTP头、TLS指纹和网络行为模式，天然具备了"用户仿生"能力。这使得它能够绕过那些基于客户端指纹或异常行为检测的初级防御，获取到与真实用户视角完全一致的上下文信息，信息准确性和覆盖率更高。
-
针对动态渲染内容的深度捕获与分析
- 现代Web应用大量采用前端框架（如React, Vue, Angular）进行动态渲染，大量敏感信息（API端点、配置、注释）并不存在于初始HTML源码中，而是由JavaScript在客户端动态生成。普通静态分析工具对此无能为力。这类插件的关键技术在于实时捕获DOM变更和网络活动。它能够监听页面加载完成后，由JS动态插入到DOM树中的新内容，并拦截和分析所有由页面脚本发起的XHR/Fetch请求。这确保了即使信息是异步加载、按需渲染的，也逃不过检测，实现了对单页应用（SPA）等复杂前端架构的有效侦查。
-
JavaScript依赖链的递归式解析与测绘
- 高级前端项目通常使用Webpack等打包工具，并存在复杂的JS模块嵌套和动态导入关系。敏感信息可能隐藏在深层依赖链的某个模块中。插件的"深度扫描"功能，其技术实质是对JavaScript代码进行静态与动态相结合的递归分析。它不仅分析初始加载的JS文件，还会尝试解析其中的模块导入语句、动态import()调用以及可能通过AJAX加载的后续脚本地址，并主动请求这些嵌套的JS资源进行进一步分析。这种"顺藤摸瓜"式的解析，旨在绘制出目标站点的完整前端代码依赖图谱，从而不遗漏任何角落。
-
多维度敏感数据模式的识别与分类
- 信息收集的最终价值在于从海量数据中提炼出高价值情报。工具集成了对多种预设正则表达式模式的匹配能力，覆盖了密钥（如API Key、Access Token）、个人身份信息（PII）、后台路径、子域名、特定框架的调试接口等。更重要的是，它能够对识别出的信息进行自动分类（如"信息收集"、"指纹嗅探"、"网站解析"），并关联其来源（悬浮显示来源URL）。这实现了从原始数据抓取到初步情报加工的自动化，将安全人员从繁琐的日志筛选工作中解放出来，直接聚焦于风险研判。
-
安全测试的左移与伴随式持续监控
- 此类工具的形态（浏览器插件）决定了它特别适合集成到安全人员或开发人员的日常浏览工作流中，实现"安全左移"和伴随式监控。在进行代码审计时，可以随时对测试环境页面进行扫描；在业务巡检时，可以快速对线上页面做一次敏感信息检查。这种低成本的、随时可进行的"轻量级渗透测试"，能够将安全检测的频次大幅提高，在问题早期（开发、测试、预发阶段）就发现信息泄露风险，而不是等到专项演练或外部攻击发生时。
工具下载链接
https://github.com/SickleSec/SnowEyes
免责声明
1.一般免责声明：本文所提供的技术信息仅供参考，不构成任何专业建议。读者应根据自身情况谨慎使用且应遵守《中华人民共和国网络安全法》，作者及发布平台不对因使用本文信息而导致的任何直接或间接责任或损失负责。
2. 适用性声明：文中技术内容可能不适用于所有情况或系统，在实际应用前请充分测试和评估。若因使用不当造成的任何问题，相关方不承担责任。
3. 更新声明：技术发展迅速，文章内容可能存在滞后性。读者需自行判断信息的时效性，因依据过时内容产生的后果，作者及发布平台不承担责任。
本文为 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf
客服小蜜蜂（微信：freebee1024）
