浏览器扩展逆向

何时使用 / 何时不用

• 用：扩展文件（crx/xpi/zip）、恶意扩展行为分析、扩展权限审计
• 用：判断扩展是否过度授权、远程代码、更新投毒（首版干净后续版本恶意）
• 不用：网页 JS 混淆（[[re-script-deob]] 覆盖纯脚本）
• 不用：Chrome/Edge 浏览器本身的漏洞利用（扩展与浏览器漏洞是两个对象）
• 注意：动态加载扩展跑恶意行为属执行未知代码——沙箱内进行（[[re-sandbox]]，[[re-analyze/platform-tips]] 最高原则）

工具准备

unzip / 7z / python zipfile（解包）

• 安装与验证见 [[re-doc-malware]] 工具准备（7z）
• crx = "Cr24" 头（版本号 + 头长度；crx2 含公钥与签名、crx3 含 protobuf 头与 proof）+ 尾部 zip 数据——unzip/7z 直接解包会报 extra bytes at beginning 警告但结果正确；python3 -m zipfile -e sample.crx ext/ 无警告
• xpi 就是纯 zip，直接解

jq（manifest 解析）