原文**：
xsssniper 擴充套件介紹
一直以來，隱式輸出的domxss漏洞難以被傳統的掃瞄工具發現，而xsssniper是依託於chrome瀏覽器的擴充套件，通過動態解析可以快速準確的發現domxss漏洞。
此外，本擴充套件不僅可以發現隱式輸出的xss，還可以發現顯示輸出的domxss，反射式xss，自動尋找jsonp的xss，以及檢測some漏洞（同源方法執行）。
原理
xss檢測原理
本擴充套件採用了兩種方法去檢測domxss。
第一種方法：fuzz
這種檢測方法誤報率非常低，只要是檢測出來的一定都是都是存在漏洞的。但是代價是漏報率也比較高。 具體來說是在當前頁面中建立乙個**的iframe，在這個iframe中採用不同字元組合截斷的payload去fuzz當前頁面中的每個url引數，以及location.hash引數。如果payload執行，說明漏洞一定存在。
第二種方法：監控js錯誤變化
如果xss存在方式比較隱蔽，或者需要非常複雜的字元組合來截斷的話，payload是無法正常執行的，然而儘管如此，payload可能會引發一些js語法異常，擴充套件只需要檢測這些異常就可以。然後提示使用者錯誤位置，錯誤內容，錯誤的行數，讓使用者手工去 因此以這種方式檢測xss，漏報少，但是代價是誤報較高。
兩種檢測方式相互結合，取長補短。
使用方法
開啟控制面板
第一次使用的時候請手工更新一下策略，將測試目標填入列表中。tester並非是主動檢測這些列表網域名稱中的漏洞。而是在你瀏覽這些**時，檢測當前頁面中的xss漏洞。 所以，開啟fuzz後，只需要正常瀏覽這些**即可。
第一種報**式：payload直接執行
如果在瀏覽過程中發現彈出了對話方塊，顯示乙個帶有xss payload的url，如下圖，說明該url可以觸發xss漏洞。
按下f12開啟console控制台，測試過的url都會在裡面顯示。將剛剛對話方塊中顯示的url+payload複製出來即可。
第二種報**式：payload使js丟擲異常
如果在瀏覽頁面時候右下角彈出如下告警，說明payload使js丟擲了不同的異常。
此時開啟f12開啟控制台，依照圖示找到異常內容和觸發異常的payload，另外還可以找到丟擲異常的檔案和行號，方便除錯。
第三種告警：jsonp反射式xss
若發現如下告警，說明頁面中使用的jsonp存在xss漏洞。url已經在提示中給出。
第四種告警：some漏洞
當擴充套件發現當前頁面中的引數在jsonp也出現時，就會給出以下告警，需要測試者手工確認頁面引數能否影響jsonp的返回引數。
谷歌擴充套件抓資料（谷歌外掛程式）
模擬登入不管用的時候，你要抓人家後台資料，這個時候可以用谷歌外掛程式。谷歌外掛程式又稱谷歌擴充套件。裡面全是js。載入jquery就可以抓資料了，還可以跨頁面呢。把資料存到background裡面。迴圈抓物流跟蹤號，示例 防止被領導批評，這裡只放部分的 學習方法即可 popup.js部分 var w...
谷歌chrome 外掛程式（擴充套件）開發 談談安裝
chrome extension 安裝的方式簡單，打包方式也是非常簡單的。官方給出了三種安裝方式 external installation 程式自動安裝，不需要人工干預。window系統需要寫入登錄檔 紅框內表示外掛程式id，path 打包後的外掛程式路徑。雖然chrome開啟後，能夠在列表中自動...
chrome谷歌外掛程式
看圖吧 可以在新標籤頁,展示一道與程式相關的問題 能提取網頁色彩，快速調節顏色 chrome 的自定義游標。使用大量免費游標或上傳自己的游標。是乙個網頁資料爬蟲工具，安裝外掛程式後可以從html網頁中提取資料 瀏覽網頁時可輕鬆檢視翻譯版本。由google翻譯小組提供。是一款chrome拼寫檢查外掛程...