javascript - 我们怎样才能找到下载的 jquery 插件试图连接到它的开发者站点？

Question

我通常会下载几个 jQuery 插件。我如何检查脚本是否正在窃取任何信息(例如用户 cookie、 session ID..)并发送到其开发者的服务器？

在 php 中，我们通过查找某些函数(system、passthru、shell_exec 等)来检查后门脚本。 JavaScript 中是否有任何此类函数可以连接到其开发者站点？

Answer 1

显然，您的第一步应该是阅读代码。您可以查找许多迹象，包括查找代码中的 URL 和任何加密代码。

当然，有些代码可能过于复杂，无法成为一个现实的建议，特别是如果它被缩小和混淆，但应该可以扫描它。如果它正在做任何类似的事情，它将使用与您自己的站点通信时使用的相同函数(即 jQuery 的 ajax 函数)，因此您不会看到引起怀疑的特定函数调用，而是代码中的可疑 URL应该检查出来，你绝对应该避免加密代码(混淆通常没问题，但不加密)。

其次，在互联网上搜索其他人对插件的评论。如果有任何不愉快的事情发生，其他人很可能已经注意到了。避免使用没有足够用户的插件以一种或另一种方式获得任何评论。

最后，使用 Firebug 之类的工具来监视在您使用包含该插件的站点时发生的 HTTP 请求。如果它正在与基地通信，它就无法对你隐藏；浏览器的调试工具会很乐意向您展示您需要了解的内容。

希望对您有所帮助。