Pin the extension. Visit any site. Click the **P** icon. PenScope was already watching.

---

## 実行できること

PenScope はタブごとに 60 以上のデータフィールドをキャプチャします。実際の意味は次のとおりです。

**攻撃対象領域全体を確認。** JavaScript で参照されているが実際には呼び出されていないエンドポイントも含め、すべてのエンドポイント。ソースマップに埋め込まれた API パス、POST ボディから再構築された GraphQL オペレーション、フレームワークのイントロスペクションから推測された隠し管理ルート。

**本来出荷されるべきではなかったシークレットを見つける。** `.js` バンドルにハードコードされた API キー。`localStorage` 内の JWT。環境ダンプ内の AWS 認証情報。レスポンスボディ内の内部 ID。P1 レポートに掲載されるようなもの。

**ブラウザ内で 36 の攻撃ステップを実行。** 認証バイパス、BAC、IDOR、CORS リフレクション、JWT alg=none、SSTI、XXE、CRLF インジェクション、プロトタイプ汚染、パラメータ発見、API バージョンダウングレード。3 段階の攻撃レベル — 注意深い、中程度、フル。カスタムヘッダーの貼り付け。ステルスモードはリクエスト順をシャッフルし、WAF をトリップさせない。

**個々の発見事項を実際のエクスプロイトに連鎖させる。** メモリ内の JWT は発見事項です。同じ JWT に加え、署名なしトークンを受け入れる API エンドポイント、デコードされたロールが admin であること、これらは連鎖です。PenScope はレポートの上部に信頼度スコア、再現コマンド、次のステップとともにその連鎖を表示します。

**任意のリクエストを編集して再送信。** 右クリックスタイル。Repeater が新しいタブ、フルウィンドウで開きます。パラメータを変更。Send をクリック。レスポンスを確認。Diff にドロップしてベースラインと比較。

**挿入ポイントでファズ。** リクエスト内の任意の場所に `§payload§` をマークし、ペイロードセット（40 XSS 文字列、30 SQLi、28 LFI、18 SSTI、22 SSRF、24 コマンドインジェクション、ID 1-100、認証バイパスクラシック、一般的なユーザー名）を選択し、攻撃モード（Sniper / Cluster bomb / Pitchfork / Battering ram）を選択し、ライブ結果テーブルを監視。異常行は星印でフラグされます。

**同時に 5 人の異なるユーザーとしてテスト。** 認証コンテキスト（Anonymous、User A、User B、Admin、Internal）を保存。ワンクリックでアクティブコンテキストを切り替え — すべての Repeater リクエスト、すべての Intruder 実行、すべてのプローブがそれらの認証情報を使用します。次に **Authorization Matrix** を実行：PenScope はすべてのエンドポイント × すべてのコンテキストを走査し、グリッドを色分けします。行間の不一致が IDOR / BAC の発見事項であり、自動的に表面化されます。

**サイトに実際に適合する CSP を生成。** ページが行ったすべてのリクエストを走査し、リソースタイプごとに分類し、厳格なポリシーを構築。`default-src 'none'`、`frame-ancestors 'none'`、`upgrade-insecure-requests` を追加。インラインスクリプトと `eval()` を検出し、`'unsafe-inline'` を保持せざるを得なかった場合に警告します。既存の CSP との差分 — 緑は強化、赤は緩和。

**Claude と双方向で対話。** `→ Claude` をクリックして、スキャン全体を構造化されたブリーフとしてクリップボードにプッシュ。次に何をテストすべきか Claude に質問。Claude はフェンスで囲まれた JSON キューで応答。`⟳ Sync from Claude` をクリックすると、PenScope がキューを解析し、ライブターゲットに対して各攻撃を実行し、結果をチェーンアナライザーにフィードバックします。

**時間経過によるスコープを追跡。** 今日サイトのスナップショットを撮り、次のスプリントで再度スナップショットを撮り、Compare をクリック。PenScope はどの発見事項が新しく、どの発見事項が解決され、どの発見事項が移動していないかを示します。差分をチームの Slack 用に Markdown でエクスポート。

**発見事項をコンプライアンスコントロールにマッピング。** Compliance Audit をクリック。すべての発見事項が PCI-DSS v4、NESA UAE IAS、SAMA CSF、DESC ISR、ISO 27001、OWASP Top 10 2021、CWE の特定のコントロールにマッピングされます。SIEM 用に JSON をエクスポート。監査人用に PDF をエクスポート。

---

## Hunt Mode

ポップアップヘッダーで `🎯 Hunt` をクリック。新しいタブが開きます。下部の **pre-flight panel** にエンジンの状態（キャプチャされたエンドポイント、シークレット、検出された技術、保存された認証コンテキスト）が表示されるため、Start をクリックする前に生産的なハントに十分な表面があるかどうかを確認できます。エンドポイントが 20 未満の場合、黄色の警告が表示され、最初にターゲットをブラウズするか、新しい DOM 自動クロールステップに依存することを提案します。ターゲットスコープ（スコープ内パス、スコープ外パス、攻撃レベル、時間予算）を設定。`▶ Start Hunt` をクリック。

PenScope は自律的に：

1. パッシブ偵察を完了
2. **Deep モードを自動有効化**（CDP デバッガーがサイレントにアタッチ — ユーザープロンプトなし）
3. **DOM 自動クロール** — 現在のページ上のすべての `<a href>`、`<form action>`、``、`[routerLink]`、`[ng-href]`、`[to]`、`[data-href]` を走査。同一オリジンの URL にフィルタリング。新しいものをプローブキューに追加。_純粋な URL 抽出 — クリックなし、ナビゲーションなし、セッションを変更する副作用なし。_
4. フル 36 ステップのプローブパイプライン + 8 つのスタック認識型攻撃パックを実行
5. 保存された認証コンテキスト全体で **Authorization Matrix** をスイープ
6. チェーンコリレーターを実行し、スコープルールでフィルタリング
7. **Critical および High のすべての発見事項に対して完全な HackerOne 形式のレポートをドラフト** — チェーン *および* 個々の高重要度の発見事項（露出したシークレット、JWT alg=none、確認済みの SSTI/XXE/CRLF）。各ドラフトには、タイトル、CVSS 推定値付き重要度、要約、2 ステップの curl による再現手順（認証なしプローブ + 差分用の認証ベースライン）、発見事項固有の影響ステートメント、スニペットライブラリからの修正提案、参考文献を含む
8. Critical ごとに Chrome 通知を発火：_"Hunt Mode found a Critical IDOR on /api/users — report draft ready"_
9. ドラフトをホストをキーとして `chrome.storage.local` に永続化（タブを閉じてもブラウザを再起動しても生存）

**Live タブ**はすべてのフィルタステップをリアルタイムで説明 — スコープフィルター前後のチェーン数、重要度分布、何がなぜドロップされたか。ハントが 0 件のレポートで終了した場合、「Why no reports?」診断がすべてのフィルターポイントを具体的な提案（「Critical+High フィルターのチェックを外す」「2 つ以上の認証コンテキストを保存」「最初にターゲットをもっとブラウズする」）とともに案内します。なぜハントが空で終わったのか疑問に思うことはもうありません。

**起床すると、事前に作成されたバウンティレポートのキューが待っています。** それぞれを読み、Copy または Export をクリックし、HackerOne / Bugcrowd / Intigriti の提出物に貼り付けます。

これが Burp が試みさえしないワークフローです。Burp の Active Scanner は攻撃を実行しますが、それでもレポートを書かなければなりません。PenScope はスキャン → エクスプロイト → レポート → 提出の全パスを所有します。

> スコープを設定。Start を押す。ラップトップを閉じる。起床するとドラフトされた Critical のキューが待っています。

### 品質管理 — あなたの評判を守る

Hunt Mode は、提出すると評判を損ねるような誤検出を積極的にフィルタリングします。

- **SPA HTML シェル** — Angular/React/Vue のブートストラップページは、JS がクライアント側で認証を処理するため、認証済みリクエストと認証なしリクエストに同一の HTML を返します。Hunt Mode はこのパターン（パスが `.html` で終了 + `sameBody=true`）を検出し、発見事項を抑制します。実際の API は引き続き報告されます。
- **良性の Azure SAS トークン** — メディア用の短命な読み取り専用 SAS URL（`image.jpg?sv=...&sp=r&se=...`）は正当な CDN 配信であり、資格情報の漏洩ではありません。Hunt Mode は `sp=r` + メディアファイル拡張子 + `se - st < 7 days` をチェックし、抑制します。長命、書き込み可能、または非メディアの SAS トークンは実際の漏洩として報告されます。
- **ハッシュフラグメントの正規化** — `/Dashboard#!/` はクライアント側ルートであり、サーバーエンドポイントではありません。Hunt Mode はチェーン分析の前にハッシュフラグメントを除去するため、レポートには `/Dashboard`（実際のサーバーパス）が表示されます。
- **すべての curl に実際の `baseUrl`** — チェーンアナライザーは `tab.url`（HTTP/HTTPS のみ）からターゲットホストを導出し、フォールバックとして最初に観測されたエンドポイントを使用します。レポート内に `https://target.tld` のようなプレースホルダー URL はもうありません。
- **透過的な診断** — すべてのフィルタステップ（スコープ、重要度、重複排除）は、ライブフィードで前後のカウントをログに記録します。ハントが 0 件のレポートで終了した場合、フィードは「Why no reports?」ブロックで終了し、特定の設定に適応した具体的な次のステップの提案とともに、潜在的な発見事項がどこでドロップされたかを正確に説明します。

### 実際の Hunt Mode ドラフト

以下は、Hunt Mode が政府の LMS に対して 4 分で生成した実際のドラフトから編集した抜粋です。```markdown
# Authentication bypass on sensitive endpoint: /api/DashboardApi/getUsefulLinks

**Severity:** CRITICAL (CVSS estimate: 9.0–10.0)
**Confidence:** 95%
**Target:** https://lms.example.gov/Dashboard
**Discovered:** 2026-05-01T07:31:13.151Z
**Detected by:** PenScope v6.2 Hunt Mode (chain pattern: chain-authbypass)

## Summary
PenScope's probe confirmed that GET /api/DashboardApi/getUsefulLinks returns
the same data whether or not authentication cookies are sent
(auth=200, noauth=200, sameBody=false). The path name strongly suggests this
endpoint should be role-gated — it's returning sensitive data to
unauthenticated callers.

## Steps to reproduce
# Verify unauthenticated access
curl -i "https://lms.example.gov/api/DashboardApi/getUsefulLinks"

# Compare to authenticated baseline (paste your real cookies):
curl -i "https://lms.example.gov/api/DashboardApi/getUsefulLinks" -b "session=..."

## Impact
Successful exploitation enables an attacker to bypass core security controls,
gain unauthorized access to sensitive functionality or data, and pivot to
broader compromise. This is a credible breach path warranting immediate
remediation.

## Suggested fix
Enforce server-side authentication on every endpoint that returns sensitive
data. The fact that PenScope received a 200 with no cookies means the
authorization middleware is missing or disabled for this route.

[ ... full Express/Django/Laravel snippet examples + references ... ]

Plus a dedicated **JWT card**: paste a token, decode the header and payload, edit either, then forge a new one. Two forge modes:

- **alg=none** — the classic JWT auth bypass test (server trusts unsigned tokens)
- **HS256** — sign with a guessed weak secret (`secret`, `key`, `password`, `jwt-secret` are the common ones)

Output is a single token, copy-paste ready.

### Diff

Two text panes. Send responses from Repeater with one click. Hit `Compute Diff`. PenScope runs an LCS line-diff and color-codes the result: `+` for added, `−` for removed. Summary count at the top.

This is the IDOR-confirmation killer. "Is the response for User A *the same* as for User B, or did the server actually return User B's data?" Diff tells you in three seconds.

### Site Map

Hierarchical tree of every endpoint PenScope captured, organized by host → path. Method pills (`GET`, `POST`, `DELETE`...). Status code badges per node, color-coded green/yellow/orange/red. Click any path to load it into Repeater.

The full attack surface, in one view, ready to test.

### Auth Contexts + Authorization Matrix

This is the differentiator. Burp doesn't ship this.

Save named auth profiles. Each profile = a name + a set of cookies + a set of headers. Build them by logging in as each user, copying their session cookies + Authorization header, pasting into the editor. Add notes ("paid plan", "read-only role", "internal staff"). One click switches the active context. Every Repeater / Intruder / probe request now fires with those credentials.

Then click `Run authorization matrix`. PenScope hits every endpoint × every context and renders a grid:```
                     Anonymous   User A    User B    Admin
GET  /api/me         401         200       200       200
GET  /api/users      401         403       403       200
GET  /api/admin      401         403       403       200
DELETE /api/orders/5 405         403       403  ★    200
PATCH /api/users/42  401         200  ★    403       200

                ┌──────────────────────────┐
                │   state[tabId]            │
                │   60+ fields populated by │
                │   webRequest / content /  │
                │   CDP / probe layers      │
                └──────────┬───────────────┘
                           │
   ┌───────────────────────┼───────────────────────┐
   │                       │                       │

**1つのエンジン、3つのモード、3つのサーフェス。** データエンジンはモードに依存しません。どのビューにいるかに関わらず、すべての状態フィールドは同じように収集されます。モードは、同じデータに対するテーマとレンダラーの選択です。WorkbenchとHunt Modeは、バックグラウンドメッセージハンドラーを介して `state[tabId]` を共有するスタンドアロンのChromeタブです。

CSS変数のオーバーライド（`body.mode-red`、`body.mode-blue`）は、単一のルールセレクターに触れることなく、すべてを再テーマ化します。そのため、Classicモードはv5.9のエクスペリエンスとバイト単位で同一です。

---

## パフォーマンス

PenScopeはすべてのタブで常に動作しています。デフォルトでは、既知のノイズの多いホストサフィックス（`googlevideo.com` などのビデオCDN、`doubleclick.net` などの広告ネットワーク、`sentry.io` などのテレメトリエンドポイント、`gstatic.com` などの大規模静的CDN）に対して、コストのかかるエンリッチメントを約50件ショートサーキットします。YouTubeで毎分数百件発生する `googlevideo.com` のチャンクリクエストは、14個の AUTH_PATTERN 正規表現＋パスパラメータ検出＋Swaggerルックアップを実行しなくなり、エンドポイントとして記録されるだけです（そのためサイトマップには引き続き含まれます）。それ以外はスキップされます。

どのホストでも、`image`/`media`/`font`/`stylesheet`/`object`/`ping` リソースタイプに対しても同じ高速パスが適用されます。バグが `.css` URLパラメータに隠れていることはほとんどありません。

コンテンツスクリプトのDOM再スキャンは `requestIdleCallback` を介して実行され（スキャン間は最低15秒のハードインターバル）、タブが非表示の場合は完全にスキップされます。MutationObserverはテキストのみの変更（タイマーティック、文字データ更新）をフィルタリングするため、YouTubeの絶え間ないDOMの変動によって3秒ごとにフル再スキャンがトリガーされることはありません。

オーバーライド可能：プローブドロップダウンの **「ノイズの多いホストでフルキャプチャ」** チェックボックス。特にYouTube/Twitch/Sentryなどをターゲットとして監査している場合は、これをチェックすると高速パスがバイパスされます。

---

## 45のプローブ攻撃

オンデマンドで実行。3つの攻撃レベルと強制契約: **Careful** = GET/HEAD/OPTIONSのみ、リクエスト間隔は最小200ms; **Medium** = 読み取り形状操作のためのPOSTを追加（最大3並列）; **Full** = DELETE/PUT/PATCHを含む全メソッドとレースコンディションバースト（最大10並列）。カスタムヘッダーはすべてのリクエストに貼り付けられます。ステルスモードでは、Fisher-Yatesでステップ順序をシャッフルし、ステップ間遅延に0〜80%のジッターを追加します。各ステップの期待されるメソッドは、プローブ開始時にアクティブなティアに対してドライランでチェックされ、ブロックされたステップは診断ログにリストされます。

| # | 攻撃 | 説明 |
|---|---|---|
| 1 | GraphQL introspection | スキーマ、タイプ、クエリ、ミューテーションをダンプ |
| 2 | Source map harvesting | `.map`をダウンロードし、シークレットとエンドポイントを抽出 |
| 3 | Swagger/OpenAPI fetch | `/swagger.json`、`/openapi.json`など |
| 4 | OPTIONS preflight | すべてのAPIパスでCORSプリフライト |
| 5 | Recon path probing | `/admin`、`/.env`、`/.git/HEAD`、`/actuator` |
| 6 | API prefix suffix brute | `/api/v1/<word>` |
| 7 | Smart suffix bruteforce | ステルスシャッフルされたプレフィックス×サフィックス |
| 8 | BAC (broken access control) | 認証なしの状態変更エンドポイント |
| 9 | IDOR auto-test | ID置換＋同一ボディ比較 |
| 10 | CORS reflection test | 資格情報付きのオリジンリフレクション |
| 11 | Method tampering | GET/POST/PUT/PATCH/DELETEの入れ替え |
| 12 | Open redirect probe | `?redirect=evil.com`のバリアント |
| 13 | Race condition probe | 冪等性に敏感なエンドポイントへの同時リクエスト |
| 14 | HTTP parameter pollution | `?id=1&id=2` |
| 15 | Subdomain enumeration | CTログと観測トラフィックから |
| 16 | GraphQL field fuzzing | イントロスペクトされた各フィールドの認証をプローブ |
| 17 | JWT alg=none acceptance | サーバーが署名なしトークンを信頼するか？ |
| 18 | Host header injection | `X-Forwarded-Host`のバリアント |
| 19 | Cache poisoning | キーなしヘッダーインジェクション |
| 20 | IDOR confirmed sameBody | ID間のボディ類似性 |
| 21 | Auth removal test | クッキーを削除し、200を探す |
| 22 | CSRF validation gap | トークンなしの状態変更エンドポイント |
| 23 | gRPC reflection | 露出したgRPCリフレクションサービス |
| 24 | Compression oracle (BREACH) | ヒューリスティック、実際には悪用しない |
| 25 | WebSocket hijacking | クロスオリジンWebSocket接続 |
| 26 | Cache poison probe | ヘッダーベースのキーなし入力 |
| 27 | Timing oracle | 同一エンドポイントのタイミング変動 |
| 28 | COOP/COEP bypass | クロスオリジン分離の強度 |
| 29 | Storage partition | クロスサイトストレージ分離 |
| 30 | Smart recursive discovery | 3波のプローブ、以前の応答から連鎖 |
| 31 | Parameter discovery | 38の隠しパラメータブルートフォース（`debug`、`admin`、`_method`、`bypass`...） |
| 32 | SSTI probing | `{{7*7}}`、`${7*7}`、`<%=7*7%>` |
| 33 | XXE probing | 外部エンティティを含むXML |
| 34 | CRLF injection | リダイレクトパラメータ内の`%0d%0a` |
| 35 | API version downgrade | 観測された各`/vN/`に対して`/v1/`、`/v2/` |
| 36 | Prototype pollution | JSONボディ内の`__proto__` / `constructor.prototype` |
| 37 | SSRF param probing | 26のSSRFパラメータ名とクラウドメタデータペイロード; 反射されたメタデータコンテンツをフラグ付け |
| 38 | NoSQL operator injection | JSON IDフィールドに`{"$ne":null}` / `{"$gt":""}` / `{"$exists":true}` |
| 39 | GraphQL alias amplification | 50エイリアスクエリ → DoS増幅面（Fullのみ） |
| 40 | GraphQL batch amplification | 25要素JSON配列バッチ → DoS増幅面（Fullのみ） |
| 41 | Cache deception | `/api/me/avatar.css`スタイル — 静的拡張子の背後に機密コンテンツがキャッシュされる |
| 42 | Subdomain takeover | 取得したサブドメインのHEADスタイルプローブ; GitHub Pages / S3 / Heroku / Netlify / Vercel / Bitbucket / Shopifyのテイクオーバーシグネチャに一致 |
| 43 | TabNabbing | `rel="noopener"`なしのクロスオリジン`<a target="_blank">` |
| 44 | postMessage origin correlation | オリジンチェックなしの`addEventListener("message")`リスナー |
| 45 | Service Worker scope abuse | 広いSWスコープ（特に`/`）をフラグ付け |

さらに**8つのスタック認識型攻撃パック**が含まれており、Redモードが一致するフレームワークを検出すると自動的に発動します：Laravel、Spring Boot、Rails、ASP.NET、Django、Next.js、GraphQL、WordPress。各パックには4〜9のスタック固有テストがあります。Spring Bootのパックだけでも`/actuator/heapdump`、`/actuator/env`、`/jolokia/list`、`/h2-console`を攻撃します。

---

## 13のチェインパターン

個々の発見はノイズです。複合的な発見がエクスプロイトです。PenScopeのチェインアナライザーは全体の状態をウォークし、複数のシグナルが組み合わさって悪用可能なものになるチェインを出力します。

1. **機密エンドポイントでの認証バイパス** — 認証欠落確認 + 管理/請求/ユーザーパス
2. **破壊的なBAC** — パスに`delete`/`remove`/`purge`を含む脆弱なエンドポイント
3. **CSRF脆弱なGraphQLミューテーション** — CSRF欠落確認 + それがミューテーション
4. **露出した認証トークン + ライブAPI** — メモリ内のJWT + 一致するエンドポイント
5. **機密データを含む確認済みIDOR** — ID間で同じスケルトンレスポンス
6. **資格情報付きのCORSリフレクション** — 完全なSOPバイパス
7. **認証フローでのオープンリダイレクト** — OAuthコールバックパス上のリダイレクトパラメータ
8. **隠された管理ルート** — コード内に3つ以上の管理パスがあり、トラフィックで観測されていない
9. **JWT alg=noneが受け入れられる** — サーバーが署名なしトークンを信頼する
10. **ソースマップがシークレットをリーク** — 本番出荷された`.map`ファイルにハードコードされたキーが含まれている
11. **WebRTC内部IPリーク** — STUN経由でプライベートIPが露出
12. **再帰的プローブ発見クラスター** — 複数のエンドポイントにわたる3つ以上の機密発見
13. **スタック固有のRCE表面** — スタックパックが露出したactuator/Ignitionなどを発見

各チェインには、重大度、要約、再現コマンド、次のステップ、信頼度スコアがあります。`重大度 × 信頼度`でソートされます。Redモードの上部とすべてのClaudeレポートの上部に表示されます。

---

## ヘルススコア（Blueモード）```
score = max(10, 100 − min(90, crit×22 + high×9))

4つの古い参照ファイル（`red-attacks.js`、`blue-fixes.js`、`blue-csp.js`、`blue-compliance.js`）はv6.3で削除されました — その内容はv6.0からすでに`popup.js` / `background.js`にインライン化されており、独立したファイルはデッドコードでした。`STACK_ATTACK_PACKS`は現在、`src/probe/stack-packs.js`からの実際のESモジュールエクスポートです。

---

## ビルドステップなし```bash
git clone https://github.com/spider12223/PenScope
# That's it.