hunt-source-leak 属于 uphiago/recon-skills 的侦察技能，用途是发现目标站点源码与构建产物的泄露，包括可还原 TypeScript/ES6 源码的 JavaScript source map（.js.map）、Swagger/OpenAPI JSON 接口面、.env 文件、.git 目录、构建信息与调试端点、.DS_Store 目录清单，以及 webpack chunk 中的硬编码值。
主要能力与流程按资料分为多个阶段：先用约 10 个请求快速探测 /.env、/.git/HEAD、/swagger.json、/openapi.json、/api-docs 等路径；再通过 asset-manifest.json、Next.js 的 _next/static 与 buildId、JS 文件末尾的 sourceMappingURL 发现源码映射，并用 Python 解析 sourcesContent 还原源文件后 grep 密钥、内网地址与 process.env 引用；随后枚举常见 Swagger/OpenAPI 路径并提取全部接口路径；检查 .git 暴露后用 git-dumper 重建仓库并扫描历史；再枚举 build-info.json、actuator/info、Dockerfile、package.json 等调试与备份文件；解析 .DS_Store 获取目录结构；分析 webpack chunk 中的 api_key、secret、token 及 Base64 编码串；当 source map 失败时转为下载原始 JS bundle 直接检索。
资料给出必要工具与命令，例如 pip3 install git-dumper、git-dumper "https://$TARGET/.git/" /tmp/dumped-repo/、npm install -g source-map-explorer、trufflehog filesystem 等。限制与注意事项：部分 SPA 会把 .map 请求返回 HTML（伪 source map），需先检查文件开头是否为 { 或 <!DOCTYPE；Alpine/BusyBox 环境缺少 grep -P，需改用 Python3 re；crt.sh 有严格限流，查询间隔 10-15 秒。验证标准为还原源码含接口或密钥、Swagger 含内部路由、.git 可克隆且历史含密钥、.env 明文可见等。资料未提供具体价格、平台与完整效果数据。