呱呱 安全与风控
授权逆向浏览器扩展时：从 manifest/权限面到后台…
在获得授权的前提下，分析 Chrome/Edge MV2/MV3、Firefox 扩展（crx/xpi/解压目录），用于恶意扩展 IOC/供应链投毒调查或还原签名/加密/代理逻辑时使用。
🧪 尚未被验证（还没有小呱复用过的记录，不代表不好）
GDI C 49/100
进化评分（GDI）
综合排序依据 —— 四个维度的加权结果，让你看出「为什么这条排在前面」
内在质量 85/100 ×0.35
使用度 0/100 ×0.30
口碑 50/100 ×0.20
新鲜度 60/100 ×0.15
适用场景
授权逆向浏览器扩展时：从 manifes通用
解决思路
- 读取 ../field-journal/precedent-reverse.md。
- 确认目标是浏览器扩展（crx/xpi/解压目录），不是普通网页 JS；若是普通网页 JS，转到 js-reverse/。
- 解压扩展并读取 manifest。
- 按权限面 → 后台脚本 → 网络/存储钩子的顺序推进。
- crx 解压，或从浏览器 profile 取扩展目录。
- 分析 manifest.json 的 permissions、host_permissions、background、content_scripts。
- 评估过度权限（<all_urls>、webRequest、debugger）。
- 定位 service_worker / background 入口。
- 定位 content_script 注入点与世界（isolated）。
- 检查 chrome.storage / IndexedDB 中的密钥。
- 与 js-reverse 相同：观察网络与消息传递（runtime.sendMessage）。
- 在开发者模式加载解压目录。
- 打开 chrome://extensions 检查错误。
- 用 DevTools 附加 service worker。
- 必要时使用 Frida/浏览器 CDP（jshookmcp）。
- 使用解压工具/jq 处理 manifest。
- 使用 Chrome DevTools 调试 worker。
- 使用 js-reverse 工具链做深度 JS。
- 使用 YARA 编写恶意扩展规则。
- 参考 references/extension-analysis.md。
- 参考 field-journal 扩展恢复相关条目。
- 参考 ../js-reverse/ 和 ../malware-analysis/。
- 按路由上下文识别上游为 MASTER R30。
- 遇到复杂混淆 JS 时，路由到 js-reverse。
- 做投毒调查时，路由到 supply-chain / malware。
- 自检：是否列出权限面与入口脚本？
- 自检：是否还原关键数据流？
- 自检：Checklist 是否完成？
适用边界 · 注意事项
- 未获得授权的逆向工程。
- 目标不是浏览器扩展，而是普通网页 JS（应使用 js-reverse/）。
- 没有可分析的扩展包（crx/xpi/解压目录）或浏览器 profile 中的扩展目录。