文章总结： 本文介绍了一款名为HackToolsPlus的浏览器渗透测试插件，其核心功能包括Repeater重放器、Intruder爆破、Race竞争测试、Intercept拦截器、Collaborator协作模式及Decoder解码器等，旨在将BurpSuite式能力嵌入ChromeDevTools，无需配置代理或证书即可进行Web安全测试。同时文章还分享了一个通过fuzz将登录接口参数改为register实现任意用户注册的高校人脸采集系统实战案例，强调了信息收集与接口测试的重要性。 综合评分： 82 文章分类： 渗透测试,安全工具,漏洞分析,实战经验,WEB安全

武装你的浏览器-HackTools Plus

锐鉴安全 锐鉴安全

锐鉴安全

2026年8月18日 00:01 广东

在小说阅读器读本章

去阅读

go。

部分X

dian’ji’weigweiID

，

zai

cizhi’cizhici

s

“证书站的未授权漏洞，忆校园青春阅edu证书站的未授权漏洞，忆校园青春

点击蓝字 关注我  共筑信息安全



免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任！

1

背景

本次实战的案例，源于某高校的人脸采集系统，听着都感觉危害很大，因为全是敏感信息，如身份证、人脸等，拿到就是高危漏洞。从无账号到登录系统，靠的就是fuzz，详细的过程见实战过程。

2

实战过程

通过一系列的信息收集，高校的人脸采集系统引起了作者注意，为什么？因为有敏感信息。

连Hunter、Fofa都没索引到这个系统，作者靠灯塔拿到了，灯塔确实好使，关键还免费，需要的师傅可以文末获取下载链接！

系统的首页如下图，可以看到，只用一个登录按钮。



看下findsomething，也没有找到“注册”功能相关的关键字，同时也跑了下接口，并无接口未授权问题。



本次案例的关键操作来了，首先抓包观察下登录系统的数据包情况，随意输入账号密码，点击登录。



可以看到登录的数据包中有个login关键字，秉着试试的心态！

作者将login改为register，惊喜时刻，注册账号成功。



使用注册成功的账号登录系统。



可以看到获取到了身份凭证。



登录到了个人信息首页。



任意用户注册账号漏洞拿下，这个fuzz操作确实有点妙。都登录系统，肯定得把全量的功能测一遍，一般可以测试sql注入、越权、文件上传等漏洞。

co

点击蓝字 关注我  共筑信息安全

免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息、工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任！

1

背景

一款基于浏览器的渗透测试插件，对标Burp功能。HackTools Plus 的核心理念是将Burp Suite式的核心能力直接嵌入Chrome浏览器开发者工具DevTools中，无需任何额外配置。

无需设置代理、无需安装证书、无需注册账号，只需按下 F12 打开开发者工具，就能立即开始测试。在特定场景下可以解决测试抓包的问题。具体啥场景，后续会有案例讲解。推荐下载备用。

2

工具介绍

主要功能

Repeater-重放器

捕获页面发出的任何HTTP请求，然后即时编辑并重放。这一功能类似于Burp Suite的Repeater，非常适合反复测试同一个请求的不同参数。

Intruder-爆破功能

支持使用载荷列表对参数进行模糊测试，提供 Sniper和 Cluster Bomb 两种攻击方式，并内置了grep匹配、差异对比和过滤功能。

Race-竞争测试

可同时触发同步请求突发，用于测试Web应用中的竞争条件漏洞。

Intercept-拦截器

在请求发送到服务器之前将其“拦截”，用户可以决定是转发、编辑还是丢弃该请求——完全是Burp风格的交互体验，且由Chrome原生调试器提供支持，无需外部代理

Collaborator-协作模式

内置了基于 ProjectDiscovery Interactsh 的带外OOB测试功能。

可以生成DNS/HTTP载荷并捕获回调，用于检测SSRF、盲注RCE、XXE和SSTI等难以通过常规响应判断的漏洞。

Decoder-解码器

支持 Base64、URL、Hex 和 JWT 的编码与解码。

其他功能如Security Scanner、Secret Scanner、Tech Detector、WordPress Audit，各位师傅开箱后摸索。

工具的使用方法：

1、下载以上插件，下载方式见文末；

2、进入浏览器扩展程序-》管理扩展程序；

3、直接把crx文件拖进去即可安装。

下载链接见文末！！

注意：记得星标，才能第一时间接收到文章更新通知！！！

期待你的关注

往期好文推荐

记一次SRC实战Getshell

【赏金实战】新手小白也能GET

Fuzz必备工具

OneScan_TX插件，出洞神器

某众测实战案例，简单拿下零花钱

武装你的浏览器-Storage Inspector

入门级的赏金获取案例

记录一次RCE实战

SRC必备的SSRF插件

记一次SRC渗透测试实战

从微信扫描登录到账号接管，细节实战

更新|帆软、用友、泛微、蓝凌等常见OA系统综合漏洞检测工具

Web渗透测试综合工具

Java漏洞专项检测工具

有趣的Fuzz+BucketTool工具等于双高危！

推荐一款资产“自动化”筛选工具

下载方式：关注公众号，回复“260818”获取下载链接。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：锐鉴安全 锐鉴安全 锐鉴安全《武装你的浏览器-HackTools Plus》