sudo apt install python3 python3-venv
git clone https://github.com/ernos/extension-scanner.git
cd extension-scanner

python3 -m venv .venv
source .venv/bin/activate
pip install -r requirements.txt

git clone https://github.com/ernos/extension-scanner.git
cd extension-scanner
chmod +x extension-scanner.py
mkdir -p ~/.local/share/bin
ln -s $PWD/extension-scanner.py ~/.local/share/bin/extension-scanner

# LSBステガノグラフィ解析に必要（推奨、オプション）
pip install pillow numpy

# オプション1. 現在のユーザーのみ:
# 簡単な使用のためのbash補完を有効にする（TABキーでコマンドの自動補完）
mkdir -p ~/.local/share/bash-completion/completions
cp extension-scanner-completions ~/.local/share/bash-completion/completions
echo "source ~/.local/share/bash-completion/completions/extension-scanner-completions" >> ~/.bashrc

# オプション2. 全ユーザーに対してグローバルに補完を有効にする（.bashrcから自動的に読み込まれます）
cp extension-scanner-completions /usr/share/bash-completion/completions

usage: xpiscanner [-h] [--update-blocklist] [--min-severity {CRITICAL,HIGH,MEDIUM,LOW,INFO}] [--json] [--compact] [-v] [-m] [--scans CHECK [CHECK ...]]
                  [targets ...]

Firefox Extension Scanner - XPIファイルをスキャンしてセキュリティリスクとマルウェアの兆候を検出します

positional arguments:
  targets               解析する1つ以上のXPIファイルまたはXPIを含むディレクトリ

options:
  -h, --help            このヘルプメッセージを表示して終了
  --update-blocklist, --update, -u
                        URLhausとPeter Loweのリストから最新のドメインブロックリストを取得し、バンドルされたスナップショットとマージして
                        /home/peb/projects/Firefox-Extensions/extension-scanner/blocklist.json に保存します。更新後に終了します。
  --min-severity {CRITICAL,HIGH,MEDIUM,LOW,INFO}
                        表示する最小重要度（CRITICAL、HIGH、MEDIUM、LOW、INFO；デフォルト: INFO）
  --json                結果をフォーマットテキストではなくJSONとして出力
  --compact, -c         各発見事項をデフォルトの3行形式ではなく1〜2行で出力
  -v, --verbose         詳細出力を有効にする：発見事項に関する追加コンテキストを表示
  -m, --manifest        各ターゲットの拡張機能マニフェスト全体を表示
  --scans, -s CHECK [CHECK ...]
                        特定のチェックタイプに分析を制限。選択肢: anti-analysis, api-abuse, credentials, cross-file,
                        file-meta, hidden-elements, obfuscation, payloads, permissions, polyglot, remote-code,
                        signatures, steganography, time-bomb, zip-tricks。省略するとすべてのチェックを実行（デフォルト）。

    extension-scanner.py — Firefox（およびその他のブラウザ）拡張機能XPIファイルを解析し、セキュリティリスクとマルウェアの兆候を検出します。

    結果の解釈、制限事項、および使用上のベストプラクティスについてはREADME.mdを参照してください。
    このツールは、ブラウザ拡張機能の包括的な静的解析を実行したいセキュリティ研究者、アナリスト、上級ユーザーを対象としています。
    他のブラウザでも動作するはずですが、Firefoxでのみテストされています。

使用方法:
    python3 extension-scanner.py [オプション] ターゲット...

ターゲットは個々の.xpiファイルまたは.xpiファイルを含むディレクトリです。便利なようにグロブパターン（例: *.xpi）を使用できます。

利用可能なチェックタイプ:
    permissions              危険/広範なマニフェスト権限とCSPの問題
    remote-code              リモートURLから読み込まれるバックグラウンドページまたはサービスワーカー
    obfuscation              eval/atob/エンコーディングのトリック、不審なURL、高エントロピー文字列
    payloads                 Base64エンコードされたブロブをデコードし、実行可能ファイル/スクリプトをスキャン
    steganography            PNGに追加されたデータ（base64/zlib/gzipで自動デコード）、未知のチャンク、LSBチャネル解析
    credentials              ハードコードされたAPIキー、トークン、パスワード、秘密鍵、IPアドレス
    file-meta                マジックバイト、二重拡張子、不審なファイル名、ファイルエントロピー
    polyglot                 2つの形式で同時に有効なファイル（例: HTML+ZIP）
    zip-tricks               パストラバーサル、NULLバイト、重複エントリ、ZIPコメント
    cross-file               HTMLクラストークンをJS localStorageキーと相互参照
    signatures               確認済み悪意のある拡張機能ファミリー（qingcaila、YTMP4など）からの既知の文字列
    api-abuse                データ窃取または外部送信を示すブラウザAPI呼び出し（cookies、tabs、history、keylogger、clipboard、executeScript）
    hidden-elements          非表示iframe、ゼロ次元要素の注入、トラッキングピクセル（new Image().src）
    time-bomb                長時間遅延のsetTimeout、Date.now()ゲート、localStorageインストール日付チェック、Math.random()ゲート
    anti-analysis            navigator.webdriver、ゼロサイズウィンドウ、ベアdebuggerステートメント、performance.now()タイミング

例:
    python3 extension-scanner.py extension.xpi
    python3 extension-scanner.py *.xpi
    python3 extension-scanner.py /path/to/extensions/
    python3 extension-scanner.py a.xpi b.xpi --min-severity HIGH
    python3 extension-scanner.py ext.xpi --scans obfuscation payloads
    python3 extension-scanner.py ext.xpi --s steganography zip-tricks file-meta
    python3 extension-scanner.py ext.xpi --verbose
    python3 extension-scanner.py --update-blocklist
    python3 extension-scanner.py --manifest

ヒント:
    - .bashrcまたは.zshrcからscanner-completions.shを読み込んで、--scansカテゴリとターゲットファイルパスのタブ補完を有効にしてください。
    - --min-severityを使用して、最初に最も重要な発見事項に集中してください。
    - --scansを使用して特定のカテゴリのチェックに分析を制限し、特定のものを探したりスキャンを高速化したりできます。
    - --manifestを使用してマニフェスト全体を確認し、権限、コンテンツスクリプト、その他の拡張機能メタデータを確認して結果の解釈に役立ててください。
    - --update-blocklistでブロックリストを定期的に更新し、最新の悪意のあるドメインがチェックに含まれるようにしてください。

クレジット:
    Ernos @ https://www.yourdev.net によって開発
    メール: max at yourdev.net
    GitHub: https://www.github.com/ernos/extension-scanner

════════════════════════════════════════════════════════════════════════════
  XPI ANALYZER — example.xpi
════════════════════════════════════════════════════════════════════════════
  全体判定: HIGH RISK

  発見事項: 1 CRITICAL  3 HIGH  2 MEDIUM  1 LOW

  ── CRITICAL ────────────────────────────────────────────────────────────
  [CRITICAL ] [JS_OBFUSCATION] content.js
           eval() 呼び出し — 文字列から任意のコードを実行可能
           Evidence: var x = eval(atob("dmFyIGE9MTs…"))

  ── HIGH ────────────────────────────────────────────────────────────────
  [HIGH     ] [PERMISSION] manifest.json
           危険な権限: 'nativeMessaging' — ネイティブOSプロセスを起動可能…
           Evidence: permissions: ['nativeMessaging', 'storage', '<all_urls>']
  …

python3 extension-scanner.py extension.xpi --min-severity HIGH
if [ $? -eq 2 ]; then echo "CRITICALな問題が見つかりました!"; fi