文章总结： 黄油曲奇是一款集成化渗透测试浏览器插件，提供信息收集、XSS测试、SQL注入检测、云存储安全扫描等八大功能模块，支持自定义正则提取和漏洞检测工具。文档包含工具使用示例和下载方式，强调仅限合法安全测试用途。 综合评分： 75 文章分类： 渗透测试,安全工具,WEB安全,红队,安全开发

工具推荐 | 黄油曲奇：一款集成化渗透测试浏览器插件，XSS、SQL注入、云存储检测全覆盖

EdinLyle EdinLyle

星落安全团队

2026年6月10日 00:00 黑龙江

在小说阅读器读本章

去阅读

点击上方蓝字关注我们

现在只对常读和星标的公众号才展示大图推送，建议大家能把星落安全团队“设为星标”，否则可能就看不到了啦！

【声明】本文所涉及的技术、思路和工具仅用于安全测试和防御研究，切勿将其用于非法入侵或攻击他人系统以及盈利等目的，一切后果由操作者自行承担！！！

工具介绍

黄油曲奇是一款集成化渗透测试浏览器插件，专为安全测试人员和开发者设计。它提供了丰富的安全测试工具，包括信息收集、信息提取、XSS 测试、SQL 注入测试、端点安全扫描、云存储检测、Shodan 主机信息查询以及多种辅助工具，帮助用户快速识别和评估 Web 应用的安全漏洞。

该插件集成了 8 大核心功能模块，覆盖了 Web 应用渗透测试的各个方面。通过直观的用户界面和强大的功能，黄油曲奇使安全测试变得简单高效，即使是非专业安全人员也能轻松操作。

功能特性

| 特性 | 说明 | | — | — | | 🔍 信息收集 | User-Agent 管理 · Cookie 管理 · HTTP 头部管理 · 敏感信息收集 · 框架指纹识别 · 蜜罐检测 · Fuzz 扫描 | | 📋 信息提取 | 域名提取 · API 提取 · JS 文件提取 · 路径提取 · Cookie提取 · Map文件提取 · 编码解码工具（URL/Base64/HTML/HEX/Unicode） · 自定义正则提取 | | 🛡️ XSS 测试 | 批量填充 · CSP 读取 · 参数提取 · 编码转换工具箱（HTML/URL/HEX） | | 💉 SQL 注入测试 | SQL HackBar · 多种请求方法 · 多种注入入口 · 响应分析 · Curl 命令生成 | | ☁️ 云存储检测 | 10 家云厂商检测 · 存储桶风险检测 · 安全模式配置 · 主动/被动扫描 · 黑白名单管理 · 高级性能设置 | | 🔐 端点安全扫描 | JS 端点发现 · 敏感目录发现 · DOM XSS 检测 · 跨域消息追踪 · 原型污染检测 · 重定向漏洞检测 | | 🌐 Shodan 主机信息 | 域名信息 · 开放端口 · 安全漏洞 · 详细信息链接 | | 🛠️ 辅助工具 | Vue 未授权快速检测 · JavaScript 工具 · 批量 URL 打开工具 · URL 列表管理 |

工具使用

信息收集

信息收集功能中的 Fuzz 扫描部分的扫描字典，师傅们可以自行收集和使用自己的常用字典或者添加内容，在插件的 data/ 目录下自行修改即可。

信息提取

自定义正则提取例如：

id = “”

\bid=["'][^"']+["']

SQL 注入

云存储检测

辅助工具

Vue 未授权快速检测

JAVASCRIPT

批量 URL 打开工具

相关地址

关注微信公众号后台回复“入群”，即可进入星落安全交流群！

关注微信公众号后台回复“20260610”，即可获取项目下载地址！

圈子介绍

博主介绍：

目前工作在某安全公司攻防实验室，一线攻击队选手。自2022-2024年总计参加过30+次省/市级攻防演练，擅长工具开发、免杀、代码审计、信息收集、内网渗透等安全技术。

目前已经更新的免杀内容：

• 部分免杀项目源代码

• 星落安全内部免杀工具箱1.0

• CobaltStrike4.9.1星落专版1.9

• 一键击溃windows defender

• 一键击溃火绒进程

• CobaltStrike免杀加载器

• 数据库直连工具免杀版

• aspx文件自动上线cobaltbrike

• jsp文件自动上线cobaltbrike

• 哥斯拉免杀工具 XlByPassGodzilla

• 冰蝎免杀工具 XlByPassBehinder

• 冰蝎星落专版 xlbehinder

• 正向代理工具 xleoreg

• 反向代理工具xlfrc

• 内网扫描工具 xlscan

• Todesk/向日葵密码读取工具

• 导出lsass内存工具 xlrls

• 绕过WAF免杀工具 ByPassWAF

• 等等…

目前星球已满1000人，价格由208元调整为218元(交个朋友啦)，1100名以后涨价至268元。

往期推荐

1.加量不加价 | 星落免杀第二期，助你打造专属免杀武器库

2.【干货】你不得不学习的内网渗透手法

3.【免杀】CobaltStrike4.9.1二开 | 自破解 免杀 修复BUG

4.【免杀】原来SQL注入也可以绕过杀软执行shellcode上线CoblatStrike

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：星落安全团队 EdinLyle EdinLyle《工具推荐 | 黄油曲奇：一款集成化渗透测试浏览器插件，XSS、SQL注入、云存储检测全覆盖》