推荐12款浏览器渗透测试扩展

Web浏览器扩展为普通浏览器提供了附加功能，这些功能在后台运行并帮助用户提高任务效率。即使安全专家和漏洞赏金猎人在其工具集中拥有更先进的技术工具，也不会跳过使用浏览器扩展，插件和附加组件来进行快速信息收集，OSINT收集和协助执行不同攻击的过程。这些方法减少了对用于其他笔测试和错误查找任务的更多单独工具的需求。

工具带有链接 - 自行下载 - 有些工具需要代理到谷歌应用商店下载

12个最受欢迎的浏览器扩展程序，用于赏金猎人

在深入了解我们的列表之前，请确保您正在运行最新版本的Mozilla Firefox和Google Chrome Web浏览器（今天我们将重点介绍它们），以确保与这些扩展的兼容性。

此外，仅从Google Chrome网上应用店和Firefox加载项页面下载并安装这些扩展程序。它们是唯一可以确保您下载安全扩展程序的可信任来源。该列表没有特别的顺序，显示了具有不同功能的工具，以帮助进行赏金狩猎。

1. Wappalyzer

在信息收集阶段，查找有关目标Web应用程序的信息（例如编程语言，框架，检测到的CMS，插件和它使用的数据库）可能对利用CVE有所帮助。

Wappalyzer是Chrome和Firefox上的一个附加组件，可以检测在任何网站上运行的所有这些技术平台。如前所述，该技术数据可进一步用于寻找活动的CVE，并发现所涉及技术背后的潜在威胁。

立即获取：

谷歌浏览器

https://chrome.google.com/webstore/detail/wappalyzer/gppongmhjkpfnbhagpmjfkannfbllamg?hl=en

火狐浏览器

https://addons.mozilla.org/en-US/firefox/addon/wappalyzer/

2. Shodan

Shodan是可用于IoT设备的最佳搜索引擎，也是用于信息收集的出色工具。它还带有Chrome和Firefox插件。Shodan插件可以帮助您发现目标Web应用程序的托管位置，IP以及拥有它的人，主机名，操作系统以及所有开放的端口和服务。

一旦安装，它将在您访问网站时自动检查Shodan API，并且上面提到的所有信息都将在弹出窗口中查看。

立即获取：

谷歌浏览器

https://chrome.google.com/webstore/detail/shodan/jjalcfnidlmpjhdfepjhjbhnhkbgleap

火狐浏览器

https://addons.mozilla.org/en-US/firefox/addon/shodan_io/

3. FoxyProxy

如果您是漏洞赏金猎人，那么可靠的代理服务器将使您可以从不同位置检查应用程序。例如，Burp Suite要求您手动切换代理-但是使用FoxyProxy之类的工具，只需单击即可替换所有麻烦。

FoxyProxy是Firefox和Chrome（与许多其他浏览器一起）的扩展，它使您可以管理不同的代理服务器，并将它们设置为间隔运行或在所需的时间关闭代理连接。它会根据URL规则自动在代理之间切换Internet连接。

立即获取：

谷歌浏览器

https://chrome.google.com/webstore/detail/foxyproxy-standard/gcknhkkoolaabfmlnjonogaaifnjlfnp?hl=en

火狐浏览器

https://addons.mozilla.org/en-US/firefox/addon/foxyproxy-standard/

4. HTTP Header Live

HTTP Header Live是Live HTTP Header的值得替代，Live HTTP Header是曾经在漏洞赏金和笔测试社区中广泛使用的浏览器扩展。它由Martin Antrag创建，具有Chrome和Firefox两种风格，用于查看网站的实时HTTP标头信息。它将显示每个http请求的实时标头，使您可以编辑数据并重新提交。

立即获取：

谷歌浏览器

https://chrome.google.com/webstore/detail/http-header-live/jljeikaiehipjcfbpedmgikbbhmknpkk?hl=en

火狐浏览器

https://addons.mozilla.org/en-US/firefox/addon/http-header-live/

5.Mitaka

提取有关目标的相关信息在漏洞赏金狩猎中起着重要作用，而OSINT是一个重要概念，从漏洞赏金猎人到红队的每个人都在使用它进行侦察。

Mitaka由Manabu Niseki创建，是一个Chrome和Firefox扩展程序，可让您从页面获取数据点，IoC，并通过各种搜索引擎和来源旋转它以获取更多信息。SecurityTrails是可用于从Mitaka进行数据透视的资源之一。

这是Mitaka可以在页面上识别和检查的输入：

立即获取：

谷歌浏览器

https://chrome.google.com/webstore/detail/mitaka/bfjbejmeoibbdpfdbmbacmefcbannnbg?hl=en

火狐浏览器

https://addons.mozilla.org/en-US/firefox/addon/mitaka/

6. HackBar

HackBar是一个浏览器扩展，允许测试简单的SQL注入和XSS漏洞。而且，虽然您无法执行标准漏洞利用，但可以使用它来检查漏洞是否存在。启用工具栏后，它将提供一个简单的控制台，其中包含测试任务，并允许您使用POST或GET请求手动提交表单数据。其他功能包括哈希算法，加密和编码工具，SQL注入辅助功能以及使用XSS有效负载测试XSS漏洞的功能。

Chrome和Firefox都可以使用HackBar扩展程序，但基于原始的不再可用的Firefox扩展程序，它们的创建者确实有所不同。Chrome扩展程序是使用更广泛的一种扩展程序，并作为其开发人员工具的一部分不断更新。Firefox扩展HackBar Quantum是同一个工具的许多其他版本之一，这一版本看似最可靠。

立即获取：

谷歌浏览器

https://chrome.google.com/webstore/detail/hackbar/ginpbkfigcoaokgflihfhhmglmbchinc?hl=en

火狐浏览器

https://addons.mozilla.org/en-US/firefox/addon/hackbartool/

7. Cookie编辑器

对于劫持易受攻击的cookie会话，必须具有cookie编辑器扩展。顾名思义，Firefox上的Cookie-Editor（也可在Chrome上使用）使您可以创建，编辑和删除活动的Cookie。它还具有一个搜索栏，以过滤出cookie并找到您要搜索的确切cookie。EditThisCookie是另一个受欢迎的Chrome扩展程序，其功能基本相同：您可以添加，删除，编辑，搜索和阻止Cookie。

立即获取：

谷歌浏览器

https://chrome.google.com/webstore/detail/editthiscookie/fngmhnnpilhplaeedifhccceomclgfbg?hl=en

火狐浏览器

https://addons.mozilla.org/en-US/firefox/addon/cookie-editor/

8. Retire.js

Retire.js是Javascript库的漏洞扫描程序。虽然它主要是作为命令行工具运行的，但它同时作为Firefox和Chrome扩展程序来提供。它在目标Web应用程序中扫描并收集有关易受攻击的Javascript库的信息，从而使漏洞赏金猎人可以找到CVE。

立即获取：

谷歌浏览器

https://chrome.google.com/webstore/detail/retirejs/moibopkbhjceeedibkbkbchbjnkadmom?hl=en

火狐浏览器

https://addons.mozilla.org/en-US/firefox/addon/retire-js/

9.Request Maker

Request Maker是一个真正的笔测试扩展程序，用于轻松创建新请求和捕获请求，以及篡改URL，标头和POST数据。它捕获通过HTML表单和XMLHttpRequests发送的请求，并且您可以在针对Web应用程序的攻击中修改http请求。此浏览器扩展程序可在Chrome上找到赏金猎人。

立即获取：

谷歌浏览器

https://chrome.google.com/webstore/detail/request-maker/kajfghlhfkcocafkcjlajldicbikpgnp?hl=en

10. JavaScript和CSS代码美化器

使用JavaScript和CSS Code Beautifier使检查随机JS文件更加轻松。当您打开.css / .js / .json文件时，除了美化CSS，JavaScript和JSON代码外，您还可以使用50多个主题来突出显示语法。它在Chrome上可用，并且是使您的狩猎和生活变得更加轻松的必需品。

立即获取：

谷歌浏览器

https://chrome.google.com/webstore/detail/open-port-check-tool/lefghalnfhaklfbndadklndcndabkadb

11. BuiltWith

作为Wappalyzer的有力竞争者，BuiltWith已在赏金猎人中广为流行，它是一种工具，可用于查找用于构建目标Web应用程序的所有技术。BuiltWith从最古老的技术一直发展到更复杂的技术，并对每种技术都有简短的描述。拥有超过15,000种技术类型，快速查看Web应用程序的构建很有用。它在Chrome和Firefox上均可用，并具有其他功能，例如可以让您查看可能使用相同代码的其他域的功能，从而可以找到与目标相关的域。

立即获取：

谷歌浏览器

https://chrome.google.com/webstore/detail/builtwith-technology-prof/dapjbgnjinbpoindlpdmhochffioedbn?hl=en

火狐浏览器

https://addons.mozilla.org/en-US/firefox/addon/builtwith/

12.用户代理切换器

User-Agent Switcher既指工具的名称，也指功能的名称，因为Firefox和Chrome提供的此工具的变体确实有所不同-Chrome扩展功能更强大，并包含在其Developer工具中。User-Agent Switcher用于在执行攻击时欺骗浏览器，只需单击几下，您就可以轻松关闭用户代理。为了进一步帮助欺骗，您可以设置每次要欺骗的特定URL。

立即获取：

谷歌浏览器

https://chrome.google.com/webstore/detail/user-agent-switcher-for-c/djflhoibgkdhkhhcedjiklpkjnoahfmg

火狐浏览器

https://addons.mozilla.org/en-US/firefox/addon/uaswitcher/

分享Firefox 52.0.2 渗透便携版：

链接：https://pan.baidu.com/s/1DheEz__5OnieG9BMD6ZqaA

提取码：ty34

本文始发于微信公众号（Ots安全）：推荐12款浏览器渗透测试扩展