Chrome एक्सटेंशन

CyberStrike Chrome एक्सटेंशन आपके ब्राउज़र से HTTP ट्रैफ़िक कैप्चर करता है और इसे स्वचालित सुरक्षा परीक्षण के लिए CyberStrike API को भेजता है।

एक्सटेंशन कब उपयोग करें

जब आप /hackbrowser चलाते हैं, तो CyberStrike एक समर्पित Chromium ब्राउज़र लॉन्च करता है जिसमें एक्सटेंशन पहले से अंतर्निहित होता है। वह स्वचालित ब्राउज़र क्रॉलिंग, ट्रैफ़िक कैप्चर और AI-संचालित नेविगेशन बिना किसी अतिरिक्त सेटअप के संभालता है। उस वर्कफ़्लो के लिए आपको अलग से कुछ भी इंस्टॉल करने की आवश्यकता नहीं है।

स्टैंडअलोन Chrome एक्सटेंशन एक अलग उपयोग के लिए है: अपने स्वयं के ब्राउज़र का उपयोग करना। इसे तब इंस्टॉल करें जब आप अपने दैनिक Chrome से ट्रैफ़िक कैप्चर करना चाहते हैं — वह जिसमें आपके बुकमार्क, सहेजे गए पासवर्ड, मौजूदा एक्सटेंशन और लॉगिन सत्र हैं। यह उपयोगी है जब:

• लक्ष्य एप्लिकेशन को एक विशिष्ट ब्राउज़र कॉन्फ़िगरेशन की आवश्यकता है जो आपके पास पहले से है
• आपको अपने वास्तविक प्रमाणित सत्रों और कुकीज़ के साथ परीक्षण करना है
• आप मैन्युअल रूप से ब्राउज़ करना चाहते हैं जबकि CyberStrike पृष्ठभूमि में हर अनुरोध का विश्लेषण करे
• एप्लिकेशन SSO, MFA, या अन्य auth फ़्लो का उपयोग करता है जो आपके अपने ब्राउज़र में आसान हैं

दोनों पथ एक ही परीक्षण पाइपलाइन को फ़ीड करते हैं और एक ही सत्र में मिश्रित किए जा सकते हैं।

इंस्टॉलेशन

एक्सटेंशन का सोर्स कोड CyberStrike रिपॉज़िटरी में packages/hackbrowser/extension/ पर शामिल है।

1. रिपॉज़िटरी क्लोन करें:

git clone https://github.com/CyberStrikeus/CyberStrike.git

2. Chrome खोलें और chrome://extensions पर नेविगेट करें
3. ऊपरी-दाएँ कोने में Developer mode सक्षम करें
4. Load unpacked पर क्लिक करें
5. क्लोन की गई रिपॉज़िटरी के अंदर packages/hackbrowser/extension/ डायरेक्टरी चुनें

लोड होने के बाद एक्सटेंशन आइकन Chrome टूलबार में दिखाई देता है।

कॉन्फ़िगरेशन

टूलबार आइकन पर क्लिक करके एक्सटेंशन पॉपअप खोलें।

सर्वर URL

एक्सटेंशन CyberStrike से इस पते पर कनेक्ट होता है:

http://127.0.0.1:4096

यदि आप CyberStrike को किसी अलग पते या पोर्ट पर चला रहे हैं तो Server URL फ़ील्ड में इसे बदलें। यदि आप रिमोट एक्सेस के लिए Cloudflare टनल का उपयोग कर रहे हैं, तो यहाँ टनल URL दर्ज करें।

स्कोप

Scope फ़ील्ड में लक्ष्य डोमेन दर्ज करें:

shop.example.com

केवल वे अनुरोध जिनका होस्टनाम इस स्कोप से मेल खाता है, कैप्चर किए जाते हैं। अन्य डोमेन के अनुरोध अनदेखा किए जाते हैं।

सबडोमेन वाइल्डकार्ड समर्थित हैं:

*.example.com

सत्र

ड्रॉपडाउन से एक मौजूदा सत्र चुनें या एक नया बनाएँ। सभी कैप्चर किए गए अनुरोध और खोजा गया संदर्भ सक्रिय सत्र में संग्रहीत होते हैं।

कैप्चर शुरू और बंद करना

ट्रैफ़िक इंटरसेप्ट करना शुरू करने के लिए Start पर क्लिक करें। एक्सटेंशन मैचिंग अनुरोधों को कैप्चर करते हुए अनुरोध काउंटर बढ़ता जाता है।

कैप्चर रोकने के लिए Stop पर क्लिक करें। सत्र सक्रिय रहता है और CyberStrike किसी भी कतारबद्ध अनुरोध को प्रोसेस करना जारी रखता है।

क्रेडेंशियल प्रबंधन

क्रेडेंशियल प्रमाणित उपयोगकर्ता पहचान का प्रतिनिधित्व करते हैं। एक्सटेंशन प्रति Chrome प्रोफ़ाइल प्रमाणीकरण हेडर ट्रैक करता है और प्रत्येक कैप्चर किए गए अनुरोध को उचित क्रेडेंशियल से लिंक करता है।

क्रेडेंशियल क्यों मायने रखते हैं

CyberStrike क्रॉस-यूज़र भेद्यताओं का परीक्षण करने के लिए क्रेडेंशियल का उपयोग करता है:

• IDOR — क्या क्रेडेंशियल A क्रेडेंशियल B के स्वामित्व वाले संसाधनों तक पहुँच सकता है?
• प्राधिकरण बायपास — क्या कम-विशेषाधिकार वाला क्रेडेंशियल उच्च विशेषाधिकार वाले एंडपॉइंट तक पहुँच सकता है?
• मास असाइनमेंट — क्या एक सामान्य उपयोगकर्ता एडमिन-ओनली फ़ील्ड इंजेक्ट कर सकता है?

जितने अधिक क्रेडेंशियल आप रजिस्टर करते हैं (एडमिन, सामान्य उपयोगकर्ता, गेस्ट, आदि), क्रॉस-यूज़र परीक्षण कवरेज उतना व्यापक होता है।

Chrome प्रोफ़ाइल

Chrome प्रोफ़ाइल ब्राउज़र सत्रों को अलग करते हैं ताकि आप एक साथ कई उपयोगकर्ताओं के रूप में लॉगिन कर सकें। प्रत्येक प्रोफ़ाइल अपनी कुकीज़ और लोकल स्टोरेज बनाए रखता है।

सेटअप:

1. Chrome के ऊपरी-दाएँ कोने में अपने प्रोफ़ाइल आइकन पर क्लिक करें
2. प्रत्येक उपयोगकर्ता भूमिका के लिए एक नई प्रोफ़ाइल बनाने के लिए Add पर क्लिक करें:
   • Admin
   • Regular User
   • Guest
3. प्रत्येक प्रोफ़ाइल में लक्ष्य एप्लिकेशन खोलें और संबंधित खाते से लॉगिन करें
4. CyberStrike पॉपअप में, प्रत्येक प्रोफ़ाइल के लिए एक क्रेडेंशियल जोड़ें (नीचे देखें)

क्रेडेंशियल जोड़ना

पॉपअप में:

1. Add Credential पर क्लिक करें
2. एक वर्णनात्मक लेबल दर्ज करें — उदाहरण के लिए admin-user या regular-user
3. उस खाते से लिंक Chrome प्रोफ़ाइल चुनें
4. Save पर क्लिक करें

क्रेडेंशियल CyberStrike API के साथ रजिस्टर हो जाता है। इस बिंदु से, उस प्रोफ़ाइल से कैप्चर किए गए अनुरोध स्वचालित रूप से क्रेडेंशियल ID से टैग किए जाते हैं।

स्वचालित हेडर सिंक

जब एक्सटेंशन पहचानता है कि किसी प्रोफ़ाइल में auth हेडर बदल गया है — उदाहरण के लिए टोकन रिफ़्रेश के बाद — यह स्वचालित रूप से अपडेटेड हेडर को क्रेडेंशियल से सिंक करता है। टोकन रोटेशन के बाद आपको मैन्युअल रूप से क्रेडेंशियल अपडेट करने की आवश्यकता नहीं है।

ट्रैक किए गए प्रमाणीकरण हेडर

एक्सटेंशन क्रेडेंशियल ट्रैकिंग के लिए इन हेडर की निगरानी करता है:

अनुरोध फ़िल्टरिंग

नॉइज़ कम करने के लिए एक्सटेंशन स्थैतिक एसेट को स्वचालित रूप से छोड़ता है:

केवल एप्लिकेशन-स्तर के अनुरोध (API कॉल, फ़ॉर्म सबमिशन, पेज नेविगेशन) अग्रेषित किए जाते हैं।

API को क्या भेजा जाता है

प्रत्येक कैप्चर किए गए अनुरोध के लिए, एक्सटेंशन POST /session/ingest को पेलोड भेजता है:

{
  "text": "POST /api/orders HTTP/1.1\r\nHost: shop.example.com\r\nAuthorization: Bearer eyJ...\r\nContent-Type: application/json\r\n\r\n{\"item_id\": 42, \"qty\": 1}",
  "sessionID": "session-abc123",
  "credential_id": "web_credential-xyz789",
  "response": {
    "status": 201,
    "headers": {
      "content-type": "application/json"
    },
    "body": "{\"order_id\": 573, \"total\": 29.99, \"status\": \"pending\"}"
  }
}

text फ़ील्ड में पूर्ण कच्चा HTTP अनुरोध होता है। रिस्पॉन्स बॉडी एक्सटेंशन द्वारा 500 KB पर कैप्ड है; API विश्लेषण से पहले इसे 100 KB तक कम करता है।

डुप्लिकेट पहचान

CyberStrike सर्वर-साइड पर अनुरोधों को डीडुप्लिकेट करता है। यदि किसी अनुरोध में समान HTTP विधि, सामान्यीकृत पथ, बॉडी स्ट्रक्चर, और क्वेरी पैरामीटर कुंजियाँ हैं तो वह छोड़ दिया जाता है। यह समान एंडपॉइंट के अनावश्यक परीक्षण को रोकता है।

संदर्भ पैनल

पॉपअप सभी प्रोसेस किए गए अनुरोधों से CyberStrike द्वारा एकत्रित संदर्भ प्रदर्शित करता है:

यह पैनल केवल-पढ़ने वाला है। CyberStrike अधिक अनुरोध प्रोसेस करते हुए इसे उत्तरोत्तर भरता है।

संबंधित दस्तावेज़

• HackBrowser - स्वायत्त AI क्रॉलर — स्वचालित विकल्प