Как сломать гугл хром

Обновлено: 06.07.2024

Поисковая система Google на первый взгляд консервативна и минималистична (в сравнении с тем же Яндексом), тем не менее, её разработчики сумели нашпиговать поиск целой кучей “пасхальных яиц” - секретных запросов, позволяющих сломать привычный вид поиска или просто дающие неожиданный ответ. Некоторые пасхальные яйца уже перестали поддерживаться поисковой системой, здесь же мы рассмотрим только те, которые до сих пор можно воспроизвести.

Классические пасхалки

Разворот страницы поиска “Бочка”

Если вы подумали о самолетах, то попали в точку. В данном случае подразумевается “бочка” - фигура высшего пилотажа у летчиков. Введя фразу “сделай бочку” на английском мы перевернём поиск.

do a barrel roll

Пасхальное яйцо появилось благодаря популярности мема “do a barrel roll” у пользователей 4chan, эта фраза использовалась в качестве ответа на вопрос “что мне делать”, в любой ситуации. Сама фраза эта была взята из игры Star Fox, где в рамках геймплея данный маневр приходилось делать часто.

В Google данная пасхалка существует с 3 ноября 2011 года и была обнаружена в первый же день своего появления. Реализация выполнена с помощью свойства animation в CSS3.

Наклон страницы поиска

Перевернуть поиск у нас уже получилось, а что если сделать его кривым? Это тоже можно с помощью фразы “криво” на английском.

Реализована пасхалка с помощью свойства transform в CSS3.

Мигание кода

Инженеры поиска интересно обыграли HTML тег <blink>, позволяющий сделать текст мигающим. Введя секретный запрос мы увидим как мигают слова “blink” и “html” в результатах поиска (в области описаний сниппетов).

Примечательно, что данный HTML тег не входит в саму спецификацию HTML и поддерживается только браузерами Opera и Firefox.

Рекурсия

Среди программистов существует целое множество шуток о рекурсии - свойстве функции вызывать свою копию в рамках выполнения себя. В случае если не ограничить её вызов каким-то условием, которое однажды перестанет выполняться, рекурсивная функция будет выполняться бесконечно, что называется зацикливанием.

Это и реализовали инженеры Google в поиске, где введя запрос “рекурсия” (или “recursion”, мы получим исправление “Возможно, вы имели в виду: рекурсия”, кликнкув по которой произойдёт переход на аналогичную страницу. И, да, переходить так можно до бесконечности, подсказка всё равно будет появляться.

Реализована пасхалка с помощью циклической ссылки, при которой страница ссылается сама на себя.

Бегущая строка

Как оказалось, одним тегом <blink> дело не обошлось и разработчики поисковика также обыграли тег <marquee>, служащий для разметки бегущих строк. Введя его название в поиске, строка отображающая количество результатов поиска (находится прямо под строкой поиска) становится бегущей.

Данный тег, как и <blink> отсутствует в HTML, то есть при проверке кода страницы с таким тегом будет ошибка. Тем не менее он поддерживается всеми популярными на текущий момент браузерами.

Блетчли Парк

Место под названием Блетчли Парк во времена второй мировой служило главным британским центром взломщиков кодов, а также тут располагалась Правительственная школа кодирования и шифрования. При этом, введя название парка, в расширенном блоке места справа (основанном на графе знаний Google) мы увидим как какой-то взломщик посимвольно подбирает название парка до его полного совпадения.

Судя по данным Википедии, именно они обнародовали данные наиболее важных немецких шифров «Энигма» и «Лоренц».

Автостопом по Галактике

В честь 61 годовщины автора “Автостопом по галактике”, писателя Адама Дугласа Google добавил в свой поиск пасхальное яйцо, связанное с его главным произведением. Так, введя в поиске запрос “ответ на главный вопрос о жизни, вселенной и всем таком” на английском, мы получим в качестве ответа расширенный результат - калькулятор, где в качестве ответа указано число 42.

the answer to life the universe and everything

В книге число 42 было универсальным ответом на все вопросы, которые кажутся слишком сложными для простого ответа. Поиск добавил данную пасхалку 11 марта 2013 года. Сам автор умер в возрасте 49 лет.

Танос

И раз уж мы затронули галактические темы, то стоит упомянуть и пасхалку, которую сделали разработчики Google к премьере фильма “Мстители: Финал”. Так, введя название антагониста фильма или его главного оружия, мы вызовем появление перчатки в блоке графа знаний справа. Кликнув по перчатке, мы увидим как половина результатов поиска испаряется, прямо как половина супергероев в конце предыдущей части кинофраншизы Marvel.

Кстати, сейчас пасхалка уже не работает!

Реализация выполнена с помощью JavaScript-анимации и тега canvas.

Волшебник страны ОЗ

Ещё одна отсылка к фильму, только в данном случае выводятся туфельки, кликнув по которым нас унесёт в страну ОЗ. При повторном клике, уже по урагану, дом подлетит и поиск вернётся в исходное состояние.

волшебник страны оз

Ёж Соник

Отсылка к культовой игре, сделанная по аналогии с отсылками к фильмам. После ввода запроса появляется Соник кликнув по которому мы вызовем анимацию и характерный звук его прыжка.

Сериал Друзья

К данному сериалу имеется даже несколько отсылок. В каждой из них нужно ввести имя одного из основных персонажей сериала и мы увидим относящийся к нему предмет в правом блоке панели знаний, нажав на который запустится анимация и характерная озвучка (в случае с Рейчел - просто откроются ее фотографии).

Фестивус

Это светский пародийный праздник, альтернатива для рождества с его коммерциализацией и суматохой. Отмечается фестивус 23 декабря и его атрибутом вместо украшенной рождественской елки является обычный алюминиевый шест на подставке. Введя название праздника в Google, вы увидите как его главный атрибут появится слева от результатов поиска, растянувшись от шапки сайта до футера.

Праздник получил популярность после того как появился в одной из серий сериала «Сайнфелд».

Кернинг

Кернингом называется изменение трекинга (расстояния между символами), в зависимости от формы букв. Если ввести в Google слово “кернинг” на английском, то он увеличит расстояние между символами слова “кернинг” в описаниях результатов поиска.

Реализовано это через свойство letter-spacing в CSS, с его помощью задано дополнительное расстояние в 1 пиксель между буквами слова.

История логотипа Google

Пасхалка показывает историю логотипа компании с 1998 года по сентябрь 2015 года. История логотипа начинается с использования его в дипломной работе Ларри Пейджа и Сергея Брина.

google logo history

Однажды в голубую луну

Англоязычная идиома “once in a blue moon” эквивалентна русскоязычному выражению “после дождичка в четверг” и означает очень редкое явление. Луна периодически действительно становится голубой, это обусловлено оптическим эффектом. Это происходит раз в 2,72 года, в третье полнолуние того астрономического сезона, который состоит из 4 полнолуний (вместо 3).

once in a blue moon

Именно частоту отражающую период в 2,72 года выводит Google при данном запросе.

Количество рогов у единорога

Аналогично шутке из “Автостопом по галактике”, в случае если вы спросите у поисковой системы количество рогов у единорога на английском, она вам покажет число 1.

the number of horns on a unicorn

Похожая пасхалка появится если спросить у Google одинокий номер на английском.

Гравитация и космос

Для того чтобы увидеть как вели бы себя элементы на странице поиска Google, если бы на них воздействовала гравитация, или они были в открытом космосе, зайдите на общую страницу поиска. Затем введите секретную фразу и нажмите на кнопку “Мне повезёт!” (не “Поиск в Google”).

Для того чтобы увидеть эффект гравитации:

Для эффекта космоса:

Webdriver Torso

Webdriver Torso является учетной записью на YouTube, предназначенной для автоматизированного тестирования производительности видеохостинга. Из-за того что на канал размещались странные ролики содержащие слайды сопровождаемые звуками и странные шутки, он быстро получил популярность. Отсылку к этому каналу можно найти в поиске, если ввести его название.

Скрытые игры

Динозавр

В вашем Google Chrome уже предустановлена игра с бегущим динозавром, которая появляется когда пропадает интернет. Хотите запустить её в любой удобный момент? Просто перейдите по указанному адресу в своём Chrome.

Подбрось монетку

Не знаете как выбрать из двух равноценных вариантов? Или пытаетесь вершить судьбы непредвзято делая выбор, как Харви Дент? Для этого просто введите в качестве поисковой фразы “подбрось монетку”, “орел или решка” или “бросок монеты” на английском, так вы вызовете игру с подбрасыванием монеты.

На аверсе монеты расположена античная девушка с оливковой ветвью, а на реверсе - огонь в чаше.

Брось кости

Решили сыграть в настолку, но потеряли игральные кости? Не проблема, Google подумал и об этом. Введите в поисковике “брось кости” на английском и вы вызовете игру с бросанием костей.

Причем можно выбрать как стандартный вариант костей с 6 гранями, так и с другим количеством граней - 4, 8, 10, 12 и 20.

Спиннер

На случай если вы решили устроить домашнее «Поле чудес» или устроить розыгрыш, Google позаботились и добавили секретный запрос, позволяющий вызвать барабан, количество долей которого можно изменять от 2 до 20.

Ожидали другой спиннер? Игрушку, которая была на пике популярности в 2017 году? Ее полное название «fidget spinner”, и да, её также можно увидеть в поиске немного изменив запрос.

Во время прокрутки для максимального идиотизма ситуации обязателен к прослушиванию трек «Фиджет спиннер» группы Хлеб:

Я стремался, но купил. Домой пришёл и закрутил.
Фиджет спиннер, фиджет спиннер!

Арканоид в Google Images

Стало скучновато? Не проблема, у Google есть пасхальное яйцо способное убить большое количество вашего времени. Ведь они реализовали аналог аркадной игры Breakout, выпущенной в 1976 компанией Atari. Для запуска нужно зайти в Google Images и ввести указанный запрос.

Ваша задача не позволить шарику опуститься до самого низа экрана, отбивая его доской. Управляется доска как мышью, так и с клавиатуры. Выигрывает тот кто уничтожит шариком все изображения: от синих до красных.

Солитер

Карточная игра «Солитер» начинает свою историю в 18 веке. В Google вы можете поиграть именно в классическую версию данного пасьянса, просто введя его название на английском в строку поиска.

Крестики-нолики

В игре крестики-нолики пользователю нужно на квадратном поле из 9 клеток составить ряд (или диагональ) из 3 идущих подряд символов, и не дать сопернику сделать то же самое. Для запуска игры просто введите ее название в поиске.

Разработчики предусмотрели возможность выбора игрока, а также режима: одиночная игра с 3 уровнями сложности, либо многопользовательская игра.

Дрейдл

Традиционная еврейская игрушка. Волчок имеет 4 грани, каждая из которых содержит символ на иврите: «Нун» — ? , «Гимель» — ?, «Хей» — ? и «Пей» — ?. Игроки по очереди крутят дрейдл и смотрят что выпадает:

символ ? - никто не выигрывает — пускающий передает ход,

символ ? - банк получает пускающий,

символ ? - пускающий получает полбанка,

символ ? - пускающий докладывает ставку в банк.

Игра не имеет тысячелетней истории, как многие могут подумать. Первое её появление в документах относятся к XVI веку.

Пакман

Для тех кто не знает что такое Пакман - это японская аркадная игра, где управляя сами Пакманом (неким подобием колобка, с открытым ртом) нужно съесть все точки раскиданные по лабиринту, избегая столкновений с привидениями.

Оригинальная аркада “Pac-Man” была выпущена в 1980 году компанией Namco в Японии.

Змейка

Классическая аркада “Snake” появилась еще в 1970-х, в ней необходимо играть за змею, собирая еду и избегая стен локации и врезаний в себя.

играть в змейку

Сапер

Компьютерная игра-головоломка “Сапер” появилась в 1989 и стала устанавливаться по умолчанию на компьютерах с MS Windows. Геймплей заключен в просчете позиции бомб на поле, числа на клетках говорят о количестве бомб рядом с данной клеткой.

В “Сапере” от Google существует три уровня сложности, а также есть подсчет времени и расстановка флажков (они служат для того чтобы помечать места где расположены бомбы, для упрощения дальнейших подсчетов).

Тест на День земли

Пройдя тест сделанный ко Дню Земли, можно найти свое тотемное животное, которое похоже на вас по своему поведению больше чем другие.

Впрочем, те кто осознанно игнорирует проблемы экологии (даже не разделяя мусор) могут и не проходить тест, ведь их тотемное животное и так известно. После прохождения теста есть возможность поделиться результатами.

Полезные ответы

Метроном

Увлекаетесь музыкой и нужно быстро найти метроном? Воспользуйтесь секретным запросом в Google, вызывающем “музыкальный хронометр”.

Онлайн версия прибора позволяет выставить частоту от 40 до 218 ударов в минуту.

Здоровое питание

Вы решили заняться здоровым питанием и начали считать калории, холестерин и другие показатели? Google позаботился и о вас. Просто вводите запрос “питание” в связке с названием продукта питания и поисковик покажет все характеристики продукта, которые так важны для вашего здоровья.

Число прописью

Если у вас есть сомнения на тему того как это число пишется прописью на английском языке, то смело вводите его цифрами, а затем добавьте “=english”, Google выведет число прописью.

Дыхательные упражнения

Для того чтобы успокоиться или просто отвлечься от своих дел на минуту, можно попробовать следующую пасхалку. В ней поисковая система выводит дыхательное упражнение, помогая вам сконцентрироваться на дыхании.

Цветовая палитра

Легко и быстро подобрать цвет по палитре можно с помощью запроса “палитра цветов” на английском. Google не только покажет цвет, но и выведет его в различных цветовых моделях: HEX, RGB, CMYK, HSV и HSL.

Звуки животных

А хотите послушать звуки разных животных? В коллекции 57 звуков как животных, в том числе леопарда, хорька и зорянки.

Возраст и рост знаменитостей

В случае если вы решили помериться ростом или возрастом со знаменитостью, просто введите имя знаменитости на английском и в конце добавьте “age” для того чтобы узнать возраст или “height” для того чтобы узнать рост.

daniel craig height

keanu reeves age

Генератор случайных чисел

генератор случайных чисел

Пасхалки Google вне поиска

Лох-несское чудовище

Лох-несс - это озеро в Шотландии, где согласно местным легендам обитает чудовище. На эту тему было множество спекуляций и некоторые до сих пор верят в его существование. Зайдя на Google Карты в область озера Лох-Несс при увеличении масштаба озера мы можем увидеть как иконка человечка в правом нижнем углу “Просмотр улиц” заменится на монстра.

Многие из преверженцев идеи существования чудовища считают его реликтовым плезиозавром. Те же кто мыслит здраво и не верит во все эти сказки, считают что легенду специально поддерживают местные владельцы таверн и отелей, для поддержания потока туристов.

Ответ сервера 418

Наверняка вы уже много раз встречали страницу ошибки 404, когда страница не существует. Имеются и другие коды ошибок, в том числе шутливый код ответа «418. Я заварочный чайник», под который у Google есть отдельная страница.

Этот шутливый заголовок ответа сервера был придуман как ответ на шутку Инженерного совета Интернета - создание протокола «контроля, мониторинга и диагностики кофемашин», где ошибка под номером 418 означала то что кто-то пытается сварить кофе в чайнике.

19 сентября получила огласку информация о баге Chrome. Браузер аварийно завершается, если в адресную строку ввести последовательность из 16 символов.

В Google уже знают о баге, хотя обнаруживший не получил денежное вознаграждение — это не уязвимость безопасности. Природа ошибки связана с некорректной обработкой нулевого байта. Атаку можно сравнить с похожим случаем, когда Skype после вставки 8 символов ломался полностью: клиент завершался и больше не запускался. Chrome понадобилось 16, ровно в два раза больше.

Баг работает не только в самом браузере Chrome, но и в программах, использующих его движок — это как другие браузеры и сборки Chromium, так и Steam, клиенты мессенджера Slack и так далее. Для падения браузера нужно вставить ссылку в адресную строку, но также сработает наведение указателя мыши на гиперссылку с проблемным кодом. Последний факт уже используют для создания игр, которые наказывают падением браузера.

Последовательность в конце ссылки преобразуется в %00, а 0x30 — это ASCII-код для 0. На конце УРЛ появляется нулевой байт.
УРЛ передаётся в GURLToDatabaseURL(), которая вызывает ReplaceComponents().
УРЛ снова обрабатывается, обнаруживается нулевой байт. Его там быть не должно, поэтому УРЛ помечается как недействительная.
Ссылка возвращается GURLToDatabaseURL(), со стороны которой ожидается валидность УРЛ. Происходит вызов spec().
УРЛ невалидна. Вызов DCHECK() приводит к падению.

При наведении курсора мыши над проблемной гиперссылкой происходит примерно то же самое, хотя в этом случае УРЛ обрабатывается в другой части браузера. Но и здесь ожидается только корректный адрес.

Вероятно, этот баг скоро исправят, но некоторые пытаются привлечь к нему внимание с помощью небольших игр-демонстраций. Пощекотать себе нервы могут пользователи следующих веб-обозревателей: Google Chrome, Opera, «Яндекс.Браузера» и других хромоподобных браузеров на движке Blink. В Microsoft Edge, Internet Explorer и Mozilla Firefox игры не работают. Перед открытием одной из двух следующих страниц рекомендуется сохранить работу и убедиться в том, что не будут потеряны важные данные.

Первая игра носит название %%30%30. Это лабиринт, созданный обычным HTML-кодом. Он выглядит как веб-страница с кликабельными картинками, по которым нужно провести указатель мыши. Нужно располагать курсор строго над эмодзи с мишками, не натыкаясь на деревья, иначе браузер упадёт. Для пользователей браузеров с иммунитетом: процесс выглядит следующим образом (2,26 МиБ).

Первый пример простой, но скучный. Второй куда более интерактивен и жесток. Это веб-сайт, на котором кликабельная точка гоняется за курсором мыши. Если она его настигнет, то попадёт в фокус, и браузер упадёт. Достижения в игре регистрирует счётчик очков. К недостаткам игры можно отнести низкую скорость движения и предсказуемость поведения «хищника».

Баг успешно работает в браузере Google Chrome 45 (последняя стабильная версия), но в бета-версии Chrome 46 воспроизвести его не удается.

БЕСПЛАТНЫЕ ПРОГРАММЫ

Программы: Интернет

Бесплатный VPN-клиент. Поддерживаются OpenVPN, IPsec, L2TP, MS-SSTP, L2TPv3 и EtherIP, а также собственный протокол

Программы: Мультимедиа

K-Lite Codec Pack Full — набор кодеков и инструментов для проигрывания аудио и видео практически любых форматов

Программы: iOS

Мессенджер, изначально ориентированный на геймеров, но со временем получивший популярность и среди других групп пользователей

Программы: iOS

Программы: Безопасность

Dr.Web CureIt! — бесплатная антивирусная программа на основе ядра антивируса «Доктор Веб»

Программы: Android

Приложение медиаплатформы «Смотрим». Доступен весь контент производства ВГТРК - телеканалы, радиостанции, сайт Вести.ру и интернет-кинотеатр с сериалами, фильмами, документальным кино, телешоу и детскими передачами

Программы: iOS

YouTube — официальное приложение видеосервиса. Позволяет смотреть видеоролики, следить за каналами и публиковать собственные видео

Программы: iOS

Программы: Интернет

Состоялся релиз новой версии популярного бесплатного приложения CCleaner, предназначенного для очистки жесткого диска, удаления временных файлов, истории просмотра сайтов и т.п.

Возможности такой модели позволяют нейросети дописывать код разработчика, искать уязвимые места в коде, переводить код с одного языка программирования на другой, а в перспективе — трансформировать в код алгоритм, сформулированный обычной речью

Минцифры России запустило программу поддержки цифровизации малого и среднего бизнеса в рамках федерального проекта «Цифровые технологии» национальной программы «Цифровая экономика Российской Федерации»

WhatsApp тестирует возможность использования десктопной версии приложения без необходимости использования смартфона

Софтодром решил вспомнить те вышедшие из употребления слова, которые имеют отношение к информационным технологиям

Софтодром рассказывает о различных способах, которые позволяют скрыть папку или отдельные файлы в Windows

Очень многие впечатляются и радуются скорости работы Google Chrome, но удивительное дело, даже не пробовали подключить дополнительные расширения. Какая глупость! Толковых аддонов пока действительно не так много, но уже сейчас есть набор расширений, которые могут пригодиться для пенстеста. Впрочем, большинство из них с большой вероятностью окажутся полезными и для вполне мирных целей.

Сбор информации и Fingerprinting

Аудит чаще всего начинается с анализа тех технологий и инструментов, которые используются веб-приложением. Применялся ли какой-то готовый движок, на каком веб-сервере все крутится, есть ли еще сайты, которые хостятся на том же сервере (и возможно уязвимы) — ответы на эти вопросы дадут специальные расширения.

Этот аддон изначально разработан для Firefox, а потому ты, возможно, с ним уже знаком. Сейчас это, пожалуй, лучшее решение для определения технологий, которые применялись для построения ресурса. Большинство движков CMS/форумов/блогов имеют ряд характерных признаков, по которым можно распознать факт их использования. Например, тег <meta name="generator" content="WordPress 3.1" /> недвусмысленно указывает на то, что сайт построен на движке WordPress. Чем занимается Wappalyzer, так это исследует исходники страницы и пытается распознать подобные метки. В базе Wappalyzer есть данные по всем самым популярным решениям для создания порталов, блогов, форумов, хостинг-панелей, электронных магазинов.

Chrome Sniffer во многом повторяет функционал Wappalyzer’а и выполняет fingerprinting используемых на странице фреймворков, движков и JS-библиотек. Всего в базе сейчас находятся слепки 100 популярных инструментов. В случае удачного распознавания их иконки отображаются прямо в адресной строке.

Пищу для размышления может подкинуть информация о хосте из WHOIS и других открытых источников. И, пожалуй, нет более удобного способа ее получить, нежели заюзать IP Address information. Расширение в один клик предоставляет геолокационную информацию, справку из WHOIS, отчет из базы спам-ресурсов, данные о DNS, хостинге, а также (и это мое любимое) соседях по домену (других сайтах, которые хостятся на этом же сервере).

Имея некоторое представление о том, с чем имеем дело, можно приступать непосредственно к аудиту. Инструментами первой необходимости тут являются расширения, позволяющие, во-первых, отслеживать те HTTP-запросы, которые отправляются на веб-сервер, во-вторых, как угодно модифицировать их, "играя" с различными параметрами, и, в-третьих, удобно просматривать вернувшийся результат.

Игры с кукисами

Важным компонентом для работы веб-приложений являются кукисы, которые хранит браузер. С их помощью сервисы узнают тебя, не запрашивая повторной авторизации, отслеживают твою активность (ай-ай-ай) и вообще сильно в них нуждаются. Увы, Chrome, как и другие браузеры, практически не представляют возможностей для манипуляции с кукисами. По умолчанию.

Что удивительно, для манипуляции с кукисами долгое время не было даже достойного расширения. И только сейчас появился замечательный аддон Edit This Cookie, позволяющий через всплывающую панель удалить произвольные куки на текущем сайте, редактировать их значения или создать уже новые "плюшки". Очень радует возможность для автоматизации: задав регулярку для поиска, можно создать специальный фильтр, который будет автоматически удалять нежелательные кукисы. Помимо этого есть опция для создания так называемых Read-Only-кукисов, которые не сможет модифицировать никакой сайт и никакое другое расширение.

Необходимость использовать несколько аккаунтов на одном и том же ресурсе возникает крайне часто. Чтобы не заморачиваться со входом-выходом, гораздо удобнее использовать аддон Swap My Cookies. По сути, это менеджер сессий. Для любого сайта ты можешь создать несколько профилей, каждый со своим набором кукисов, и быстро переключаться между ними. Я это делаю с помощью горячих клавиш.

Пентест веб-приложений

Для Google Chrome есть несколько расширений, которые специально заточены для поиска XSS-дыр, SQL-уязвимостей, а также других брешей безопасности. Пригодятся также и несколько других аддонов, которые хотя напрямую и не связаны с пентестом, но могут помочь автоматизировать некоторые из действий (вроде подстановки зловредных значений в разные места ввода данных).

Если название покажется тебе знакомым, не удивляйся. Возможно, когда-то ты использовал утилиту Websecurify, представляющую собой мощную среду для тестирования безопасности веб-приложений. Позже разработчики реализовали функционал сканера в виде аддона для Chrome. Поэтому теперь одним кликом можно запустить анализ сайта на наличие таких уязвимостей, как SQL Injection, Cross-site Scripting, Cross-site Request Forgery, Local/Remote File Include и т.д. Все работает в автоматическом режиме.

Замечательный инструмент для пентестера, включающий в себя XSS-сканер, XSS реверсер, а также инспектор объектов. Функция Scan поможет быстро реализовать инъекцию для всех возможных местах ввода данных (аддон сам их определит и предложит на выбор). Нужно узнать, как конкретная страница отфильтровывает вывод, но сорцов нет? Нет проблем — просто выбери опцию Reverse — и вскоре ты увидишь, какие из символов разрешены. Инспектор объектов позволяет в реальном времени изменять содержимое функций и быстро разобраться в логике работы веб-приложения.

Нет лучшего инструмента для изучения особенностей работы веб-приложения, чем Firebug lite. К сожалению, он сильно отстает от своего старшего брата, функционал сильно урезан из-за ограничений архитектуры расширений Google Chrome. Так, к примеру, Firebug lite не имеет встроенного JavaScript-отладчика, поэтому ты не сможешь в полной мере поковыряться с JS-скриптами. Но аддон все равно предоставляет немало полезных возможностей и, к примеру, позволяет в реальном времени изменять и выполнение HTML-кода, CSS на абсолютно любой странице. Отмечу также опцию Inspect: когда ты кликаешь на нужный тебе элемент сайта, Firebug lite мгновенно находит в сорцах код, который этот элемент реализует.

Это расширение пассивно анализирует код просматриваемых в браузере страниц и в случае обнаружения слабых мест, чреватых XSS-инъекцией, предупреждает об этом, показывая соответствующий значок в адресной строке. Справедливости ради, стоит упомянуть, что аддон уже довольно продолжительный период не обновляется.

Если тебе необходимо автоматизировать какую-то проверку или фаззинг, то самый верный способ — создать макрос с помощью этого расширения. Один раз записав сценарий и показав браузеру последовательность действий, его можно воспроизводить сколько угодно раз на любой странице. Причем если ты уже создавал макросы в аналогичном аддоне, но для Firefox, то их не придется создавать заново — все заработает и в Chrome.

Анонимность и безопасность

Если говорить о пентесте, нельзя не упомянуть аспекты своей собственной безопасности и анонимности. Берем основное: соединение через прокси (что может понадобиться и просто для работы с сервисами, которые накладывают ограничения по региону пользователя), работу с защищенными версиями сайта, отключение зловредных скриптов, тщательное удаление историй посещений.

Этот сценарий, являющийся аналогом расширения NoScript для Firefox, делает одну простую вещь — полностью отключает выполнение скриптов на сайте. Это единственный гарантированный способ серфить зараженные сайты, откуда пачками грузятся трояны, а также защитить себя от XSS и Clickjacking атак :).

Чтобы сразу убедиться, что прокси работает, есть этот полезный аддон. What is my ip adresse покажет текущий IP-адрес, а также выдаст по нему полную информацию о провайдере, а также геолокационную информацию, включая страну и примерное месторасположение.

Не надо еще раз объяснять, насколько важно использовать защищенные версии сайтов. Многие популярные ресурсы сейчас поддерживают работу через SSL, но не всегда предлагают их использовать по умолчанию. KB SSL Enforcer позаботится, чтобы ты работал именно с SSL-версией ресурса, если она существует.

О назначении этого расширения понятно из названия. Оно позволяет определить в настройках прокси-серверы и быстро между ними переключаться. Приятно, что в аддоне реализована система правил: для обозначенных URL аддон автоматически может переключаться на нужный прокси-сервер. Например, для того чтобы пользоваться онлайн-радио Pandora, которое доступно только для пользователей из Америки, мы можем установить соответствующий прокси из Штатов.

Читайте также: