浏览器扩展分析决策树与证据分级

场景决策树（入口 → 分支）

1. 包格式判定（第一级）

扩展文件
├─ "Cr24" 头  → CRX（Chromium 系）
│  ├─ 版本号 2 → crx2（旧；Chrome 78 起不再支持安装，分析照常解包）
│  └─ 版本号 3 → crx3（当前标准，带 protobuf 头 + proof 签名）
├─ 纯 zip 无 Cr24 → 可能是 xpi（Firefox）或未打包目录压缩包
│  └─ 解包后看 manifest.json 是否存在
└─ 既非 Cr24 也非 zip → 不是标准扩展包，回 [[re-triage]] 重新识别

扩展目录（未打包）也可直接分析：manifest.json + 脚本文件与打包后内容一致
crx2/crx3 头都只是前缀，zip 数据从尾部偏移开始——unzip 报 extra bytes 警告即正常解包信号

2. manifest 版本分支（第二级）

manifest_version
├─ 3（MV3）
│  ├─ 后台: background.service_worker（Chrome）；Firefox 用 background.scripts
│  ├─ 远程代码: 禁止——出现远程拉取 = 审查绕过信号
│  ├─ 站点权限: host_permissions 独立字段
│  └─ 流量修改: declarativeNetRequest（webRequest 阻断仅企业策略例外）
├─ 2（MV2）
│  ├─ 后台: background.page 常驻页面
│  ├─ 远程代码: 允许（eval/动态加载）——远程拉取是常见投毒手法
│  ├─ 站点权限: 混在 permissions 里（URL 匹配模式）
│  └─ 流量修改: webRequest blocking
└─ 缺失/非法 → manifest 损坏或伪造，标注异常

3. 行为定位分支（第三级）

静态读完 manifest + 脚本后
├─ 有网络外传代码（fetch/XHR/sendBeacon/Image.src）
│  └─ 目标地址静态可判定 → [[re-ioc]] 指标提取
│  └─ 目标地址动态生成/远程拉取 → 网络侧抓取（[[re-netcap]]）→ 沙箱动态
├─ 有注入能力（content_scripts/scripting.executeScript/动态脚本标签）
│  ├─ 注入代码内嵌 → 静态还原（[[re-script-deob]]）
│  └─ 注入代码远程 → 动态加载抓包还原
├─ 有敏感数据收集（tabs/storage/cookies/keydown 监听/clipboard）
│  ├─ 收集量小且本地上送 → 重点标记外传目标
│  └─ 收集 + 批量上传 → 高可疑
├─ 有 update_url 自托管更新 → 拉历史版本 diff（[[re-variant]]）定位投毒点
├─ 有 nativeMessaging → 查宿主清单文件（manifest 外）与宿主程序
└─ 静态全干净 → 沙箱动态加载，观察网络/存储/权限调用

4. 动态阶段分支

沙箱加载扩展
├─ 网络有异常外传 → 抓包 → 还原数据格式 → 指标提取
├─ 无外传但 storage 有写入 → 查看存储内容，找外传触发条件（交互/定时/特定站点）
├─ 只在特定站点触发 → 用目标站点模拟访问，观察 content script 行为
└─ 全程无行为 → 检查触发条件：用户交互、权限授予弹窗、未匹配 host 权限

证据分级表

级别	证据形态	示例	用途
A 强	动态行为 + 网络侧闭合	沙箱内观察到数据外传，抓包与静态代码目标一致	可下"恶意"结论
B 中	静态代码链闭合	代码明文收集并上传、manifest 越权声明成立	可下"高可疑"
C 弱	静态特征	只有高危权限声明、混淆程度高	只支持"需深入"，不下结论
反证	良性解释	权限用途与功能相符、无外传代码	记录并存档

恶意扩展常"首版干净、更新投毒"：单版本结论需标注版本范围（哪个版本起恶意），版本链对比是必要环节
结论同时标注浏览器族（Chromium/Firefox）——同一扩展两平台行为可不同（Firefox 无 service_worker、AMO 渠道更新）

实现教训（内化）

先定 MV 版本再定分析框架：MV2/MV3 的权限语义、远程代码合法性、流量修改 API 完全不同，交叉套用必然误判
静态定位要区分"数据流向"：收集（读 API）→ 汇聚（storage）→ 外传（网络）三段，各段都要有落点
远程代码是 MV3 里最强的恶意信号，但 MV2 里是合法能力——同一特征在不同 MV 版本下证据强度不同
更新投毒检测靠版本 diff，不是靠单版本分析：保留文件清单/哈希基线，新版本逐文件对比
动态验证前先静态读完 manifest 权限——决定沙箱里哪些 API 调用会被权限弹窗拦下，避免误判"无行为"
证据链记录：文件 sha256、manifest 原文、外传目标、触发条件（哪个上下文/哪个事件）

使用注意

动态加载与触发在沙箱内进行（re-sandbox，re-analyze/platform-tips 最高原则）；扩展与浏览器同权限运行，隔离不当等于执行恶意代码
分析结论按本表分级标注；权限审计结论（越权/过度授权）与恶意结论分开陈述

4.9 KiB Raw Blame History Unescape Escape

浏览器扩展分析决策树与证据分级

场景决策树（入口 → 分支）

1. 包格式判定（第一级）

2. manifest 版本分支（第二级）

3. 行为定位分支（第三级）

4. 动态阶段分支

证据分级表

实现教训（内化）

使用注意

4.9 KiB

Raw Blame History