关于JSPandaJSPanda是一款功能强大的客户端原型污染漏洞扫描工具，可以对从源代码中采集到的所有词进行污染，并显示在屏幕上。因此，它可能会产生假阳性结果。这些输出仅旨在为研究人员提供额外的安全分析信息，并不旨在完全自动化。注意：当前版本的JSPanda尚不具备检测高级原型污染漏洞的能力。JSPanda的运行机制针对原型污染漏洞使用了多种payload；它可以收集目标项目中的所有链接，扫描它们，然后将Payload添加到JSPanda获得的URL中，并使用headlessChromedriver导航到每个链接URL链接；扫描目标JavaScript库源代码中所有可能存在漏洞的词，JSPanda可以扫描目标项目中的脚本工具，并创建一个简单的JSPoC代码，帮助研究人员对目标代码进行手动扫描；tool需要下载并安装最新版本的GoogleChrome浏览器和Chromedriver驱动；Selenium工具下载广大研究人员可以使用如下命令将项目源码clone到本地：gitclonehttps://github.com/RedSection/jspanda.git工具运行（1）执行扫描首先，我们需要添加将目标项目的URL地址放入JSPanda的url.txt文件中，例如“example.com”。添加完成后，我们可以运行如下命令进行扫描：python3.7jspanda.py(2)基本源码分析首先，我们需要在analyze.js中添加一个JavaScript库的源码，然后使用analyze。py文件生成PoC代码。接下来，在Chrome浏览器的命令行终端窗口中执行我们刚刚生成的PoC代码。它将对从源代码中收集的所有单词执行污点操作，并将结果显示在控制台窗口中。这个过程有可能产生假阳性结果。这些输出仅旨在为研究人员提供额外的安全分析信息，并不旨在完全自动化。运行命令如下：python3.7analyze.py源码分析截图工具演示视频视频地址：【点我观看】项目地址JSPanda：【GitHub传送门】
