19個方便滲透測試的Chrome擴充套件
Google Chrome是目前世界上最流行的瀏覽器之一，簡潔的介面讓他俘獲了許多使用者，除此之外還具有許多改善瀏覽體驗的功能。與Firefox一樣，Chrome也支援外掛，稱之為“擴充套件”，這些擴充套件程式極大地拓展了Chrome的公呢個。數千個擴充套件程式讓我們可以直接在瀏覽器中執行花樣繁多的功能，而不需要安裝獨立的軟體。在這篇文章中，我們將介紹19項好用的安全擴充套件來把Chrome變成一個安全測試工具。
筆者收集的這些滲透測試擴充套件程式都可以在Chrome應用商店中免費下載，少數可能需要到官方站點下載。
面向滲透測試人員的Chrome擴充套件
1. Web Developer
本擴充套件會在Chrome中新增一個具有豐富功能的工具條，使用者可以用他們分析Web前端的HTML和Javascript等。
（主頁君補充：這個工具需要新增？Chrome不是自帶F12麼……
）
2. Firebug Lite for Google Chrome （Firebug精簡版）
（主頁注：Firebug是Firefox下的一款神級外掛，幾乎是WEB前端開發者必備的工具。針對非Firefox瀏覽器，他們還提供了精簡版。不過在功能上絕對不如Firefox下的。）
本擴充套件提供了一個豐富的視覺化環境來分析HTML元素，DOM元素，盒模型等，還有值得一提的CSS即時編輯功能。本工具可以分析WEB應用在客戶端的行為。
3. d3coder （decoder，解碼器）
這項擴充套件將新增一個右鍵選單，方便滲透測試人員按照指定格式編碼/解碼文字。它支援的編解碼格式有：
4. Site Spider（網站爬蟲）
這個擴充套件將會檢測所有的頁面並報告所有損壞的連結。你還可以新增正則表示式規則來限制爬蟲檢測的範圍，新增認證資訊來訪問受限制的頁面。本擴充套件還是開源的（主頁君吐槽：所有的Chrome擴充套件都是加簽名的zip壓縮檔案，直接解壓那個crx就是原始碼了），可以根據需要定製。
5. Form Fuzzer （表單模糊測試[1]）
本擴充套件會在表單中填充預定義的字元到不同的域中，並且支援單選框、複選框、下拉框的選擇。你可以用這個工具快速地把Payload填入表單中，對於執行XSS和SQL注入測試非常有用。
6. Session Manager （會話管理器）
提供儲存、更新、恢復和刪除一組標籤頁的功能。你可以建立一個內容相近的標籤組，一次單擊便可以開啟全部。
（主頁君吐槽：為什麼不直接把這些頁面放到一個書籤資料夾，中鍵點開即可……）
7. Request Maker （HTTP請求標識工具）
這個工具與Burp的功能非常像，可以建立和捕獲HTTP請求，篡改請求URL，在請求中新增新的頭部資訊（HTTP Header）。它可以捕獲表單和XMLHttpRequests建立的請求。利用這個工具可以執行一些基於HTTP請求的攻擊。
（主頁君吐槽：還是自帶F12就有的功能，自己體會去~如果要玩大的，強烈推薦用Python寫指令碼，強可定製）
8. Proxy SwitchySharp
一個代理伺服器管理外掛，可以快速的切換代理設定。它還支援根據網址自動切換代理，允許匯入匯出資料。開啟代理之後，我們可以利用代理伺服器隱藏自己的IP地址。
（Firefox下有個類似的Elite Proxy Switcher）
9. Cookie Editor （cookies編輯器）
cookies是網站在瀏覽器端儲存使用者資訊的最主要方式。本擴充套件讓修改cookie變得非常簡單，可以刪除、編輯、新增和查詢cookies，這對基於cookie的SQL注入和會話劫持非常有用（不過主頁君還是推薦直接在javascript控制檯裡面寫程式碼來做這些事）。本擴充套件內建廣告，所有的廣告收入都將捐給聯合國兒童基金會。你可以在擴充套件設定中禁用廣告。
10. Cache Killer（快取剋星）
本擴充套件可以在重新整理頁面之前自動清空快取，只要滑鼠單擊即可快速啟用。禁用快取後可以方便的觀察網站實時的情況，對WEB前端開發者非常有用（媽媽再也不用在URL後面加上隨機數來強制重新整理了！）
11. XSS Rays（跨站之光）
12. WebSecurify （網路安全）
這是一個強大的跨平臺網路安全測試工具，支援多種桌面作業系統，移動平臺和瀏覽器。這是第一個直接在瀏覽器中執行的WEB安全檢測工具。它支援XSS、XSRF、CSRF、SQL注入、檔案上傳、URL重定向等安全漏洞。程式內建了爬蟲掃描器，嘗試遍歷頁面並找出裡面存在的安全問題。不過他並不是一個全自動的工具，它將會列出可能具有漏洞的地址，你需要自行確認漏洞是否存在。在掃描過程中，所有的特徵資料都是放在雲端的，所以你不需要擔心資料庫是否為最新版本，這個漏洞檢測引擎將會保證實時更新。
13. Port Scanner（埠掃描）
埠掃描，滲透攻擊中很常見的一個手法，不必多說了吧？你可以使用這個擴充套件來掃描當前開放的TCP埠，支援IP和域名地址。這個擴充套件還有支援Opera和Firefox瀏覽器的版本。
一個流行的XSS檢測工具，與BeEF類似，但是是基於瀏覽器的。它可以執行以下任務：
- 監視受害者當前開啟的標籤頁
- 在每一個標籤頁中執行javascript（全域性XSS）
- 解壓HTML，讀取和修改cookies（包括設定了httpOnly的cookie），HTML5本地儲存
- 讀取和修改瀏覽器歷史紀錄
- 在瀏覽器全部關閉之前保持執行
- 獲取受害者的螢幕截圖
- 更深入的攻擊，比如附加BeEF鉤子，鍵盤記錄器等
- 通過file:// 協議瀏覽檔案系統
- 繞過Chrome擴充套件指令碼的沙盒（寫過Chrome擴充套件的應該知道是什麼）來直接與頁面指令碼進行互動
這不是一個擴充套件程式，而是一個框架，所以安裝的方法與前者有所不同。請閱讀官方說明來了解安裝方法。
15. HPP Finder（HPP[2]查詢器）
這是一個發現HPP漏洞並執行攻擊的工具，它可以方便地檢測出具有潛在漏洞的HTML表單或者URL。
16. The Exploit Database（exp資料庫）
這並不是一個滲透測試工具，但是可以讓你時刻同步Exploit DB網站上最新的exp, shell code和論文。這個工具是開源的：