Tarnish 介绍
Tarnish可以 自动 化实现很多常规的安全监测任务，并且可以帮助研究人员 快速 识别目标Chrome扩展中存在的潜在安全漏洞。?
如果你不想使用线上版本，你想在本地自行配置Tarnish的话，可以直接使用git命令将项目源码从GitHub库克隆至本地：
git clone https://github.com/mandatoryprogrammer/tarnish.git
功能 介绍
研究人员可以直接将任意Chrome扩展的 链接地址 （Chrome Web商店来源）拷贝到Tarnish的扩展输入栏中来进行安全审计。
manifest.json查看器：以jsON数据格式 显示 扩展的manifest 文件 内容 。
指纹分析：检测web_accessible_resources， 自动 化 生成 Chrome扩展指纹（JavaScript）。
潜在的点击劫持分析：检测设置了web_accessible_resources指令的扩展html 页面 。根据 页面 的用途，判断 页面 是否容易受到点击劫持攻击。
权限警告：它 显示 了所有Chrome权限 提示 警告的列表，这些警告将在 用户 试图安装扩展时 显示 。
可能存在漏洞的 函数 ： 显示 可能被攻击者利用的危险 函数 的位置（例如innerhtml、chrome.tabs.executescript等 函数 ）。
入口点： 显示 扩展接受 用户 /外部输入的位置，这有助于理解扩展的潜在攻击面，并寻找潜在的入口点来向扩展发送恶意编制的数据。
内容 安全策略（CSP）分析器和绕过检查器：它们可以检测出扩展中CSP的弱点，并提供绕过CSP和CDN白名单的任何潜在 方法 。
已知易受攻击的库：Tarnish将使用retire.js检查目标扩展中是否使用了已知的易受攻击的JavaScript库。
网站地址 : https://thehackerblog.com/tarnish/
GitHub: https://github.com/mandatoryprogrammer/tarnish
网站描述: 一款针对Chrome扩展的静态安全分析平台
Tarnish官方网站
官方网站： https://thehackerblog.com/tarnish/
如果觉得 网站内容还不错，欢迎将 网站 推荐给程序员好友。