文章总结： 黄油曲奇v1.0.3是一款集成化渗透测试浏览器插件，集信息收集、XSS测试、SQL注入检测、端点扫描、Shodan查询等功能于一体，支持Chrome/Edge浏览器且无需复杂配置。插件采用模块化设计，可直接访问页面DOM和Cookies上下文，提供实时响应和多格式导出功能，适用于快速渗透测试和漏洞验证。文档详细介绍了各模块操作方法和项目结构，并强调仅限合法安全研究使用。 综合评分： 82 文章分类： 渗透测试,WEB安全,安全工具,红队,内网渗透

5、📖 功能详解

🔍 信息收集模块

这个模块是我日常使用最频繁的，它可以快速帮我们获取目标的各类信息：

| 功能 | 用途 | | — | — | | User-Agent管理 | 快速切换UA，测试不同客户端下的页面表现 | | Cookie管理 | 便捷查看和修改Cookie，用于测试认证绕过 | | HTTP头部设置 | 修改X-Forwarded-For等头部，测试IP伪造 | | 敏感信息收集 | 扫描页面中的邮箱、手机号、API密钥等 | | 框架指纹识别 | 识别目标使用的技术栈（Vue、React等） | | 蜜罐检测 | 判断目标是否为蜜罐，避免浪费时间 | | Fuzz扫描 | 对JS文件、API路径、参数进行字典扫描 |

实操示例：

1. 访问目标站点的登录页面
2. 打开黄油曲奇 -> 信息收集模块
3. 点击"框架指纹识别" -> 识别出ThinkPHP 5.0
4. 点击"敏感信息收集" -> 扫描到3个邮箱和1个泄露的API密钥
5. 导出结果继续深入测试zq

🛡️ XSS测试模块

XSS测试是渗透测试的重点，这个模块提供了完整的测试工具链：

主要功能：
├── 批量填充    -> 自动填入XSS Payload到所有输入框
├── CSP读取     -> 分析Content-Security-Policy防护策略
├── 参数提取    -> 提取URL中的Query/Hash/Path参数
└── 编码转换    -> HTML实体/URL编码/十六进制转换

Payload编码技巧：

黄油曲奇的编码转换工具箱支持一键转换，比如将：

<script>alert(1)</script>

转换为各种编码格式，方便绕过WAF或XSS过滤器。

💉 SQL注入测试模块

这个模块相当于一个轻量级的HackBar：

| 功能 | 说明 | | — | — | | SQL HackBar | 内置多种SQL注入Payload | | 请求方法 | GET/POST/PUT/PATCH/DELETE | | 注入入口 | URL参数/POST表单/JSON/Cookie/Header | | Curl生成 | 一键复制为Curl命令，终端执行 |

🔐 端点安全扫描模块

这个模块主要用于发现页面中的潜在安全问题：

JS端点发现从页面加载的JS文件中提取API路径，包括：

• 绝对路径：https://api.example.com/user/info
• 相对路径：/api/v1/users
• 模块路径：./api/user

敏感目录发现内置常见敏感路径字典，检测是否存在：

• 管理后台
• API文档页面
• 配置文件泄露
• 备份文件

DOM XSS检测通过静态分析，追踪数据流：

source: location.hash / location.search
    ↓
sink: innerHTML / document.write / eval

如果数据从source流向了不安全的sink，就会标记为可能的XSS点。

原型污染检测检测对象原型链是否可能被污染，导致意外行为。

🌐 Shodan主机信息模块

直接在浏览器中查询Shodan数据：

显示内容：
├── 主机基本信息（IP、地区、ISP）
├── 开放端口列表
├── 漏洞信息（CVE）
└── 详细报告链接

不需要单独打开Shodan网站，一个插件搞定。

🛠️ 辅助工具模块

| 工具 | 用途 | | — | — | | Vue检测 | 识别Vue应用，导出路由配置，绕过前端守卫 | | JS调试 | 一键禁用/启用JS，反调试脚本 | | 批量URL | 一次性打开多个URL，适合批量验证 | | URL管理 | 保存常用URL列表，方便下次使用 |

6、⚡ 技术亮点

1. 模块化架构每个功能独立成模块，便于维护和扩展。后续如果需要添加新功能，只需在对应目录新增脚本即可。

2. 实时响应利用浏览器的事件监听机制，可以实时捕获页面的网络请求、DOM变化等事件，响应速度比独立工具更快。

3. 上下文共享与当前浏览器页面共享Cookie、Storage等上下文，测试认证相关的漏洞更加方便。

4. 导出灵活支持JSON、TXT、CSV、XLSX多种导出格式，满足不同场景需求。

7、👨‍💻 作者信息

作者：0x八月
公众号：0x八月
版本：1.0.3
更新：2026-03-25

3、 🔄 脚本获取

公众号回复”20260331″即可获取链接地址

4、 📚 往期推荐

Langflow RCE与技术细节CVE-2026-33017

负载均衡下打内存马的奇淫技巧

人人都能成为代码审计专家（可落地，强的可怕）

ChiXiao (赤霄)现代化红蓝攻防综合平台 关于我们: 感谢各位大佬们关注-不秃头的安全，后续会坚持更新渗透漏洞思路分享、安全测试、好用工具分享以及挖掘SRC思路等文章，同时会组织不定期抽奖，希望能得到各位的关注与支持，考证请加联系vx咨询。

1. 需要考以下各类安全证书的可以联系

①Cn*d，NCC，NVDB🀄️高漏洞证书

②CNNVD中高\漏洞情报\ 一二三级支撑单位均可协助获得

③CISP、PTE/PTS、CISP-DSG、IRE/IRS、NISP一二级、PMP、CCSK、CISSP/CCSP、CISAW各种类、CCRC\CCSC、itil、软考中高级、CDSP各种类、CISA，oscp等等巨优惠。ISO27001、ITss服务项目经理报名等下证即可，证书组团报更便宜，可对公，可开专普票。以下是其他全部证书

【腾讯文档】【信息安全 数据安全 IT认证证书】～不秃头的安全Vx:Meditation0723

https://docs.qq.com/doc/DZmtOckpOakJrcFVv?#

想加群下方二维码，群过期或群满加下方vx拉：

2. 需要入星球的可以私聊优惠

1、维护更新src、cnxd、cnnxd专项漏洞知识库，包含原理、挖掘技巧、实战案例
2、fafo/零零信安 高级会员key
3、最新POC通用报告详情分享思路
4、知识星球专属微信“内部圈子交流群”
5、攻防演练资源分享（免杀、溯源、钓鱼等）
6、新鲜工具分享
7、不定期有工作招聘内推（工作/护网内推）
8、19个专栏会持续更新~提前续费有优惠，好用不贵很实惠

3、其他合作（合法合规）

1、承接红蓝攻防、渗透、安全意识培训、基线核查及加固、应急响应、重保防守、代码审计等安全项目（须授权），需要攻防团队或岗位招聘都可代发、代招（灰黑勿扰）；

2、各位安全老板需要文章推广的请私聊，承接合法合规推广文章发布，可直发、可按产品编辑推广；合作、推广代发、安全项目、岗位代招均可发布；

3、接受脱敏投稿,送一年知识星球及礼包。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：不秃头的安全 0x八月 0x八月《黄油曲奇v1.0.3 集成化渗透测试浏览器插件》