PenScope

Was das ist

PenScope ist eine Chrome-Erweiterung. Installieren Sie sie, durchsuchen Sie eine Website, die Sie testen dürfen, und sie kartiert stillschweigend die gesamte Angriffsfläche – jeden Endpunkt, jedes Geheimnis, jeden falsch konfigurierten Header, jeden versteckten Parameter. Wenn Sie das Signal geben, sendet sie 36 verschiedene Probe-Angriffe mit Ihren echten Sitzungscookies und meldet zurück, welche getroffen haben.

Oder Sie legen den Geltungsbereich fest, klicken auf Jagen, und PenScope erledigt das Ganze autonom, während Sie etwas anderes tun – es erstellt vollständige HackerOne-konforme Bug-Bounty-Berichte für jeden kritischen und hohen Fund, den es erzielt. Sie wachen mit einer Warteschlange einreichbarer Entwürfe auf.

Es ist das tägliche Werkzeug für Bug-Bounty-Jäger, die den „Richten Sie einen Proxy ein, klicken Sie in drei Fenstern herum, wechseln Sie per Alt-Tab zu einer Payload-Liste“-Routine überspringen und einfach eine Website ansehen möchten. Oder ganz aufhören zu schauen und das Werkzeug für sich jagen lassen.

Liest alles, sendet nichts – bis Sie es anweisen. Legen Sie den Geltungsbereich fest, drücken Sie Jagen, schließen Sie den Laptop. Wachen Sie mit entworfenen Kritischen auf.

Neues in v6.3

Auditgesteuerte Umstrukturierung über 8 Phasen. Die wichtigsten Neuerungen:

• Probe-Engine: 36 → 45 Angriffe. SSRF-Parameter-Sondierung, NoSQL-Operator-Injection, GraphQL-Alias-/Batch-DoS, Cache-Täuschung, Subdomain-Übernahme-Heuristik, TabNabbing, postMessage-Ursprungskorrelation, Service-Worker-Bereichsmissbrauch.
• Tier-Vertrag wird durchgesetzt, nicht beschrieben. Vorsichtig = nur GET, sequentiell, 200 ms Abstand. Mittel = +POST für Lesevorgänge. Voll = alles inklusive Race-Condition-Bursts. Bewegen Sie den Mauszeiger über eine Stufe im Probe-Menü, um den vollständigen Vertrag zu sehen.
• Abdeckung: 31 neue Secret-Muster + 9 neue Antwortkörper-Muster. Mapbox-Geheimschlüssel, Datadog (echtes Format), Algolia-Admin, Twilio-Auth-Token, Postmark, Cloudflare-API-Tokens, Heroku, Linear, Notion, Figma, Plaid-Paar, Snyk, Terraform Cloud, Pinata, SSH-öffentliche Schlüssel, .env-Zuweisungen, Vault-s./b.-Präfixe — plus Spring Boot / Rails ActiveRecord / Django DEBUG / ASP.NET YSOD / Express / Apollo / MSSQL Antwortkörper-Detektoren.
• 17 neue Technologie-Fingerabdrücke. Qwik, SolidStart, Tauri, Strapi, Sanity, Contentful, Hygraph, Clerk, Cognito, Okta, PingIdentity, Workday, ServiceNow, Salesforce Lightning, Adobe AEM, Electron-Renderer.
• JWT-Anreicherung. Jedes erkannte JWT dekodiert automatisch (alg, iss, sub, aud, exp, iat, role, scope...). Schweregrad erhöht sich, wenn exp in der Zukunft liegt und die Rolle wie admin aussieht.
• CDP-Erweiterungen. Accessibility.getFullAXTree macht sensible Aria-Labels sichtbar (Admin/Sudo/Delete/Destroy-Buttons). Storage.getCookies legt CHIPS-partitionierte Cookies offen, die chrome.cookies.getAll nicht erfasst.
• JSON-Insel-Parser. <script type="application/json">-Blöcke (Next __NEXT_DATA__, Nuxt __NUXT__, Remix __remixContext, Apollo __APOLLO_STATE__) werden auf Endpunkte + ID-Felder geparst, nicht nur per Regex gescannt.
• Neues Endpunkt-Tab-UI. Zeilenweise curl-Schaltfläche, zeilenweise unauth-Schaltfläche (wiederholt die Anfrage ohne Cookies, zeigt nebeneinander das Ergebnis). Routentabellenansicht, die /users/123, /users/124 zu /users/{id} mit Zählern zusammenfasst. Automatische Pivot-Leiste für admin.*, api.*, internal.*-Subdomains.
• HAR-Export + ffuf-Wortliste. Spiegelung der vorhandenen HAR-Import- und Burp-Wortlisten-Exporte. Direkt in ffuf -w einfügbar.
• 📸 Snap / ↔ Diff-Schaltflächen in der Popup-Kopfzeile. Jetzt einen Schnappschuss speichern, später jederzeit vergleichen. Gleiche Mechanik, die der Blaumodus verwendet.
• IndexedDB-Diff. Clientseitigen Zustand erfassen, die App verändern, erneut erfassen, differenzieren. Erfasst Zustandslecks, die reines HTTP-Capturing übersieht.
• Kritische Sicherheitskorrekturen. Probe window.__ps_ctx gibt die Authorization-Header des Benutzers nach Abschluss der Probe nicht mehr in den Seitenkontext preis. Chain-Reproduzierungsbefehle schwärzen Sitzungscookies standardmäßig (der Rot-Modus hat einen Opt-in-Schalter für Live-Werte). Probe IIFE erfasst fetch/JSON/Promise/atob/btoa/etc. beim Start, sodass mit Analyse-Tools instrumentierte Seiten die Probe nicht durch Überschreiben von Globals abfangen können. Lokales Font-Vendoring – keine ausgehenden Anfragen beim Öffnen des Popups.
• ES-Modul-Migration. SW lädt jetzt als "type":"module". Verzeichnisbaum src/ vorhanden; STACK_ATTACK_PACKS nach src/probe/stack-packs.js extrahiert. Die restlichen Module sind Stubs, die den Extraktionspfad dokumentieren.

Vollständige phasenweise Aufschlüsselung in CHANGES.md. Migrationshinweise in MIGRATION.md.

Schnellstart```

1. Download the latest release zip from the Releases page
2. Unzip it
3. Open chrome://extensions, enable Developer mode (top right)
4. Click "Load unpacked" and pick the unzipped folder

Pin die Erweiterung. Besuche eine beliebige Website. Klicke auf das **P**-Symbol. PenScope hat bereits beobachtet.

---

## Was du tun kannst

PenScope erfasst über 60 Datenfelder pro Tab. Was das in der Praxis bedeutet:

**Sieh die gesamte Angriffsfläche.** Jeder Endpunkt, einschließlich derer, die in JavaScript referenziert, aber nie aufgerufen werden. API-Pfade, die in Source Maps vergraben sind, GraphQL-Operationen, die aus POST-Bodies rekonstruiert wurden, versteckte Admin-Routen, die aus Framework-Introspection abgeleitet wurden.

**Finde Geheimnisse, die niemand ausliefern wollte.** API-Keys, die in `.js`-Bundles fest kodiert sind. JWTs im `localStorage`. AWS-Anmeldeinformationen in Umgebungsdumps. Interne IDs in Response-Bodies. Die Art von Dingen, die in einem P1-Report landen.

**Führe 36 Angriffsschritte in deinem Browser aus.** Auth Bypass, BAC, IDOR, CORS Reflection, JWT alg=none, SSTI, XXE, CRLF Injection, Prototype Pollution, Parameter Discovery, API Version Downgrade. Drei Aggressionsstufen – Vorsichtig, Mittel, Voll. Benutzerdefinierte Header einfügbar. Stealth-Modus mischt die Reihenfolge der Anfragen, sodass du kein WAF auslöst.