需求
众所周知，渗透测试的本质是信息搜集，信息搜集的详细程度与能否挖到漏洞有直接关系。有些接口如果看到了，那就是一个高危。信息的数量与质量决定了攻击面的大小。
每次翻js代码太烦了，写个脚本吧，每次都想不起来跑啊。chrome插件用起来比较方便，整一个吧。
设计
搜集当前标签页的源码和js链接，对js链接再次加载，获取js代码，然后从html和js中使用正则匹配我们需要的信息。将匹配到的信息筛选、去重并展示到插件的页面中。
实现
简介下chrome扩展插件的一些基础知识。chrome插件的架构为content_scripts、background、browser_action 三个部分。
content_scripts是跟随页面一起加载的script脚本，可限制哪些域名加载或不加载，一般用于处理页面元素，每个标签页的content_scripts环境是独立的，也就是说每个页面都会加载一次content_scripts，且互不相通。
background是插件后台运行的环境，浏览器不同的标签页都会共享这一个后台script环境，可以将数据存储到后台进程中。
browser_action是插件的前端展示部分，可配置popup页面来通过html与用户交互。
第一步，正则表达式
sfz : /['"]d{14}[0-9a-zA-Z]{4}['"]/gmobile : /['"]((1[3,5,8][0-9])|(14[5,7])|(17[0,6,7,8])|(19[7]))d{8}['"]/gmail : /['"][a-z0-9]+([._\-]*[a-z0-9])*@([a-z0-9]+[-a-z0-9]*[a-z0-9]+.){1,63}[a-z0-9]+['"]/gip : /['"]d+.d+.d+.d+['"]/gip_port : /['"]d+.d+.d+.d+:d+['"]/gdomain : /['"][a-zA-Z0-9-.]*?.(xin|com|cn|net|com.cn|vip|top|cc|shop|club|wang|xyz|luxe|site|news|pub|fun|online|win|red|loan|ren|mom|net.cn|org|link|biz|bid|help|tech|date|mobi|so|me|tv|co|vc|pw|video|party|pics|website|store|ltd|ink|trade|live|wiki|space|gift|lol|work|band|info|click|photo|market|tel|social|press|game|kim|org.cn|games|pro|men|love|studio|rocks|asia|group|science|design|software|engineer|lawyer|fit|beer|我爱你|中国|公司|网络|在线|网址|网店|集团|中文网)['"]/gpath : /['"]/[^/][^>< )({}]*?['"]/gurl : /['"](([a-zA-Z0-9]+:)?//)?[a-zA-Z0-9-.]*?.(xin|com|cn|net|com.cn|vip|top|cc|shop|club|wang|xyz|luxe|site|news|pub|fun|online|win|red|loan|ren|mom|net.cn|org|link|biz|bid|help|tech|date|mobi|so|me|tv|co|vc|pw|video|party|pics|website|store|ltd|ink|trade|live|wiki|space|gift|lol|work|band|info|click|photo|market|tel|social|press|game|kim|org.cn|games|pro|men|love|studio|rocks|asia|group|science|design|software|engineer|lawyer|fit|beer|我爱你|中国|公司|网络|在线|网址|网店|集团|中文网)(/.*?)?['"]/g
第二步，数据筛选、去重、传递、展示。
使用
在chrome开发者模式下，加载已解压的扩展程序。在测试页面点击插件图标即可使用。
https://github.com/ResidualLaugh/FindSomething
代码比较烂，仅为了实现功能，欢迎大家多提建议。
推荐阅读
陌陌安全 陌陌安全致力于以务实的工作保障陌陌旗下所有产品及亿万用户的信息安全，以开放的心态拥抱信息安全机构、团队与个人之间的共赢协作，以自由的氛围和丰富的资源支撑优秀同学的个人发展与职业成长。
本文始发于微信公众号（陌陌安全）：陌陌分享 | 信息搜集插件
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论