浏览器渗透测试神器！八合一安全检测插件让漏洞挖掘效率提升十倍

棉花糖糖糖
棉花糖糖糖

棉花糖网络安全工具箱

2026年7月19日 10:46
四川

在小说阅读器读本章

去阅读

重点导读免责声明

本工具仅供学习和授权测试使用，禁止用于非法用途。使用者需遵守当地法律法规。

重点导读项目概述

黄油曲奇是一款面向安全测试场景的浏览器扩展程序，基于 Chrome/Edge 扩展架构开发。该插件将渗透测试流程中的核心检测能力集成到单一界面中，支持信息收集、XSS 漏洞测试、SQL 注入检测、云存储安全扫描、端点发现等操作。

重点导读核心功能

PART 01信息收集

支持 User-Agent 管理、Cookie 管理、HTTP 头部信息收集、敏感信息检测、框架指纹识别、蜜罐检测和 Fuzz 扫描。Fuzz 扫描字典存储于 data/ 目录，支持用户自定义补充。

PART 02信息提取

提供域名、API 端点、JS 文件、路径、Cookie、Map 文件等多维度提取能力。内置编码解码工具，支持 URL、Base64、HTML、HEX、Unicode 格式转换。提供自定义正则表达式提取功能。

信息提取界面

PART 03XSS 测试

批量参数填充、CSP 策略读取、自动参数提取。内置编码转换工具箱，覆盖 HTML、URL、HEX 编码场景。

XSS 测试界面

PART 04SQL 注入测试

集成 SQL HackBar 工具，支持多种 HTTP 请求方法和注入入口。提供响应结果分析和 Curl 命令生成功能。

SQL 注入测试界面

PART 05云存储检测

覆盖阿里云、腾讯云、华为云、AWS、七牛云、青云、又拍云、京东云、金山云、天翼云十家主流云厂商。检测项目包括存储桶遍历、PUT 上传、DELETE 删除、ACL 读写、Policy 读写等风险类型。支持主动扫描和被动检测双模式，提供黑白名单管理和性能参数配置。

云存储检测界面

PART 06端点安全扫描

包含 JS 端点发现、敏感目录扫描、DOM XSS 检测、跨域消息追踪、原型污染检测、重定向漏洞检测等功能模块。

端点安全扫描界面

PART 07Shodan 集成

在浏览器内直接查询域名信息、开放端口、安全漏洞等主机数据，提供详情链接跳转。

Shodan 查询界面

PART 08辅助工具

Vue 未授权访问快速检测、JavaScript 工具集、批量 URL 打开工具、URL 列表管理。

重点导读技术架构

PART 09扩展架构

采用 Manifest V3 规范开发，后台服务 worker 负责核心逻辑，Content Script 注入页面执行检测任务，Popup 界面提供用户交互入口。

PART 10模块划分

PART 11数据存储

利用 chrome.storage.local 本地存储配置信息、扫描结果和历史记录。data/ 目录存放指纹库、字典文件等数据资源。

重点导读安装配置

PART 12环境要求

• 浏览器：Chrome 88+ 或 Edge 88+
• 系统：Windows、macOS、Linux

PART 13加载步骤

1. 克隆或下载项目到本地
2. 打开浏览器扩展管理页面（chrome://extensions/）
3. 启用开发者模式
4. 点击\"加载已解压的扩展程序\"
5. 选择项目根目录
6. 扩展自动安装并在工具栏显示图标

PART 14权限说明

重点导读版本演进

PART 15v1.2.0

新增云存储检测模块，支持十家云厂商和六种风险类型检测。增强编码解码工具，新增 HTML 和 HEX 格式支持。优化黑白名单管理和界面交互。

PART 16v1.1.0

Vue 检测功能增强，支持 Vue 2/3 版本识别和 Router 实例分析。信息提取模块优化，排除静态资源、CDN 等误报场景。

PART 17v1.0.4

新增信息提取模块、域名提取、API 提取、JS 文件提取、路径提取、Cookie 提取、Map 文件提取、编码解码工具和自定义正则功能。

PART 18v1.0.3

初始版本发布。

本公众号非项目作者，仅做技术分享。

本文介绍的项目开源地址如下：

https://github.com/EdinLyle/Butter_Cookie

广告时间

低价考证包括但不限于CISP系列、PMP等等国内网安证书、网络安全交流群请关注公众号后点菜单栏的找棉花糖。

糖心会员站，网络安全必备网站，包括在线内网靶场、web靶场、src靶场、应急响应靶场，以及各种网安资料、教程、方案模版、以及超级多在线工具，99元包年！详细介绍：棉花糖会员站介绍(26年4月26日版本) ：在线内网靶场、网安资料方案、在线工具全能资源站，看完介绍百分百心动！