🚀 Установить расширение rep+ для Chrome

Содержание

• Возможности
• Быстрый старт
• Установка
• Разрешения и конфиденциальность
• Ограничения
• История звёзд
• Нашли ошибку или проблему?
• ❤️ Поддержка проекта

Возможности

Захват и воспроизведение

• Не требуется настройка прокси; работает напрямую в Chrome (сертификаты CA не нужны).
• Захват любого HTTP-запроса и повтор с изменёнными методом, заголовками или телом.
• Захват на нескольких вкладках (опциональное разрешение) с визуальными индикаторами 🌍 и дедупликацией.
• Быстрая очистка рабочей области; экспорт/импорт запросов в JSON для обмена или повторного использования.

Организация и фильтрация

• Иерархическая группировка по странице и домену (приоритет для first-party).
• Обнаружение third-party и сворачиваемые группы; значки доменов для быстрого контекста.
• Звёздочки для запросов, страниц и доменов (автоматическая пометка для новых совпадений).
• Представление временной шкалы (плоское, хронологическое) для просмотра того, что загрузилось перед запросом.
• Фильтры: метод, домен, цветовые метки, текстовый поиск, режим регулярных выражений.

Просмотр и редактирование

• Представления Pretty / Raw / Hex; переключение макета (горизонтальный/вертикальный).
• Конвертеры: Base64, URL-кодирование/декодирование, JWT-декодирование, Hex/UTF-8.
• История, отмена/повтор и подсветка синтаксиса для запросов/ответов.
• Вспомогательные пункты контекстного меню в редакторе запросов:
  • Преобразование выделенного текста (Base64, URL-кодирование/декодирование, JWT-декодирование).
  • Копировать как полный HTTP-запрос на нескольких языках: curl, PowerShell (Invoke-WebRequest), Python (requests) и JavaScript fetch.
• Редактор снимков для пар запрос/ответ: захват полного содержимого; расположение рядом или друг над другом; масштабирование; выделение и черное затемнение; изменяемые/перемещаемые аннотации; удаление клавишей Delete; отмена/повтор всех правок.

Пакетные операции и автоматизация

• Пакетное воспроизведение с 4 режимами атак: Sniper, Battering Ram, Pitchfork, Cluster Bomb.
• Разметка позиций с помощью §, настройка нагрузок, пауза/возобновление длительных прогонов.
• Просмотр различий ответов для обнаружения изменений между базовым и пробными запросами.

Извлекатели и поиск

• Унифицированный извлекатель: секреты, конечные точки и параметры из захваченного JS.
• Secret Scanner: энтропия + шаблоны с оценкой уверенности; пагинация и фильтр по домену.
  • Работает на основе правил Kingfisher для всестороннего обнаружения секретов.
  • Поддерживает AWS, GitHub, Google, Slack, Stripe, Twilio, Azure и многих других поставщиков услуг.
  • Правила хранятся локально в каталоге rules/ для работы в офлайн-режиме.
  • Примечание: Сканирование секретов анализирует только JavaScript-файлы из текущей проверяемой вкладки.
  • Экспорт: Экспорт всех секретов в CSV для анализа и отчётов.
• Endpoint Extractor: полные URL, относительные пути, GraphQL; обнаружение метода; копирование одним кликом (восстанавливает базовый URL).
  • Экспорт: Экспорт всех конечных точек в CSV с методом, путём, уверенностью и исходным файлом.
• Parameter Extractor: пассивное обнаружение параметров JavaScript с интеллектуальной группировкой и оценкой риска.
  • Типы параметров: Извлекает параметры запроса, тела, заголовков и пути из JavaScript-файлов.
  • Группировка по конечной точке: Параметры организованы по конечным точкам с раскрывающимися/сворачиваемыми группами.
  • Классификация риска: Автоматически определяет параметры высокого риска (auth, admin, отладочные флаги, IDOR, флаги функций).
  • Оценка уверенности: Более строгая модель уверенности, чем для конечных точек, для снижения числа ложных срабатываний.
  • Умная фильтрация: Подавляет распространённые ложные срабатывания (webpack, React, jQuery, события DOM, телеметрия).
  • Копировать как cURL: Один клик генерирует команду curl со всеми корректно оформленными параметрами.
  • Значки расположения: Визуальные индикаторы для расположения параметра (query/body/header/path).
  • Фильтр по домену: Фильтрация параметров по исходному домену с точными счётчиками.
  • Сортировка столбцов: Сортировка по имени параметра, расположению, конечной точке, методу, уровню риска или уверенности.
  • Варианты экспорта:
    • CSV-экспорт: Экспорт всех параметров с расположением, конечной точкой, методом, уровнем риска и уверенностью.
    • Экспорт в коллекцию Postman: Генерация готового к импорту JSON-файла коллекции Postman со всеми конечными точками и параметрами.
      • Автоматическая группировка параметров по конечной точке.
      • Включает параметры запроса, тела и заголовков.
      • Использует синтаксис переменных Postman ({{paramName}}) для удобного тестирования.
      • Идеально подходит для специалистов по безопасности, которые хотят быстро импортировать обнаруженные API в Postman.
• Response Search: поддержка регулярных выражений, предпросмотр совпадений, пагинация, фильтр по домену.

AI-помощь

Rep+ AI Assistance (Интерактивный чат с LLM)

• Интерактивный интерфейс чата: Беседа в реальном времени с ИИ о ваших HTTP-запросах и ответах.
  • Потоковые ответы с рендерингом Markdown в реальном времени.
  • Подсветка синтаксиса для блоков кода (поддерживает несколько языков).
  • Копирование в буфер обмена для блоков кода с визуальной обратной связью.
  • Счётчик использования токенов с цветными предупреждениями.
• История чата для каждого запроса: Каждый запрос хранит собственную историю беседы.
  • Автоматическое сохранение чата при переключении между запросами.
  • Восстановление предыдущих бесед при возврате к запросу.
  • Кнопка очистки чата сбрасывает только историю текущего запроса.
• Ссылки на предыдущие запросы: Возможность ссылаться на исследования из других запросов.
  • Интерфейс «Ссылки на предыдущие запросы» со сворачиваемым/раскрываемым списком.
  • Выбор, какие предыдущие запросы включить в контекст.
  • ИИ получает сводки предыдущих исследований по запрошенным запросам.
  • Идеально для многошагового тестирования (например, вход → аутентифицированный запрос).
• Модификация запросов: ИИ может напрямую изменять запросы в редакторе.
  • Кнопка «Применить изменения» появляется, когда ИИ предлагает правки.
  • Умное обнаружение: показывает только при фактических предложениях изменений.
  • Сохраняет структуру запроса (заголовки, форматирование, версию HTTP).
  • Анимация применения с визуальной обратной связью.
  • Поддерживает обновление заголовков, изменение тела и добавление новых заголовков.
• История отслеживания ответов: Отслеживает несколько ответов от повторных отправок.
  • Хранит хронологическую историю всех ответов (оригинал + повторные отправки).
  • ИИ получает контекст всех ответов при анализе изменений.
  • Условное включение: включает полную историю только при необходимости (оптимизация токенов).
• Умное управление контекстом: Интеллектуальная оптимизация токенов.
  • Усечение больших ответов (максимум ~1500 токенов).
  • Сжатие истории чата (сводки старых сообщений).
  • Условное включение ответа (только когда о нём спрашивают).
  • Ограничение истории ответов последними 2-3 ответами.
  • Хранит последние 15 сообщений в истории беседы.
• Поддержка нескольких провайдеров: Работает с Claude, Gemini и локальными моделями Ollama.
  • Автоматическое определение модели для API Anthropic и Gemini.
  • Ручная конфигурация URL/модели для локальных моделей.
  • Потоковая поддержка для всех провайдеров.
• Примеры использования:
  • Тестирование безопасности и рекомендации по пентесту.
  • Объяснение и отладка запросов/ответов.
  • Автоматическая модификация запросов для тестирования.
  • Генерация отчётов о найденных уязвимостях (bug bounty).
  • Идентификация уязвимостей и предложение векторов атак.
  • Планирование многошаговых цепочек атак с контекстом нескольких запросов.

Другие AI-функции

• Explain Request (Claude/Gemini) с потоковыми ответами.
• Предложить векторы атак: анализ запроса + ответа; автоматическая отправка, если нет ответа; предложение нагрузок; отражения/ошибки/многошаговые цепочки; откат к только запросу с предупреждением.
• Контекстное меню «Объяснить с ИИ» для выделенного текста.
• Анализ поверхности атаки по доменам: категоризация (Auth/Payments/Admin и т.д.), цветные значки, переключение между списком и представлением поверхности атаки.
• Экспорт AI-выводов в Markdown или PDF для сохранения RPD/TPM.

Продуктивность и темы оформления

• 7 красивых тем: Выбор из множества современных, тщательно проработанных тем:
  • 🌙 Тёмная (по умолчанию): Классическая тёмная тема, оптимизированная для длительных сессий.
  • ☀️ Светлая: Чистая светлая тема для яркого окружения.
  • 🎨 Modern Dark: Тема, вдохновлённая VS Code Dark+, с усиленным контрастом.
  • ✨ Modern Light: Светлая тема в стиле GitHub с чёткими цветами.
  • 💙 Blue: Холодная сине-голубая цветовая схема для свежего вида.
  • 🔆 Высокий контраст: Тема для доступности с максимальным контрастом.
  • 🖥️ Терминал: Эстетика зелёного на чёрном для ретро-настроения.
• Выбор темы: Удобное выпадающее меню для мгновенного переключения между темами.
• Плавные переходы: Анимированная смена темы для безупречного взаимодействия.
• Оптимизированная подсветка синтаксиса: Все темы включают тщательно настроенные цвета для:
  • HTTP-методов, путей, заголовков и версий.
  • JSON-ключей, строк, чисел, булевых значений и null.
  • Параметров и cookie.
  • Значков методов запросов (GET, POST, PUT, DELETE, PATCH).
• Сохранение темы: Ваш выбор темы сохраняется и восстанавливается автоматически.
• Цветовые метки запросов и фильтры.
• Подсветка синтаксиса для JSON/XML/HTML.

Быстрый старт

1. Откройте Chrome DevTools → вкладка «rep+».
2. Переходите по страницам: запросы захватываются автоматически.
3. Нажмите на запрос: сразу увидите сырой запрос/ответ.
4. Отредактируйте и нажмите «Send» для повторного воспроизведения; используйте AI-кнопки для объяснения/предложений атаки.
5. Используйте временную шкалу, фильтры и пакетное воспроизведение для более глубокого тестирования.

Установка

1. Клонируйте репозиторий:
   root@kitploit:~

   git clone https://github.com/bscript/rep.git
   

2. Откройте расширения Chrome:
   • Перейдите на chrome://extensions/ в браузере.
   • Включите Режим разработчика (переключатель в правом верхнем углу).
3. Загрузите расширение:
   • Нажмите Загрузить распакованное.
   • Выберите папку rep, которую только что клонировали.
4. Откройте DevTools:
   • Нажмите F12 или щёлкните правой кнопкой мыши → «Просмотреть код».
   • Найдите вкладку rep+ (возможно, придётся нажать на меню >>).

Такая комбинация делает rep+ удобным для охотников за багами и исследователей уязвимостей, которым нужна итерация как в Burp, но без громоздкого интерфейса. Установите расширение, откройте DevTools, перейдите на панель rep+ и начинайте хакать 😎.

Настройка локальной модели (Ollama)

При использовании локальной модели (например, Ollama) необходимо разрешить расширениям Chrome обращаться к ней, иначе появятся ошибки 403/CORS.

1. Остановите запущенный экземпляр Ollama.
2. Запустите Ollama с включённым CORS (выберите один вариант):
   • Разрешить только расширениям Chrome:
     root@kitploit:~

     OLLAMA_ORIGINS="chrome-extension://*" ollama serve
     

   • Разрешить всё (проще для локальной разработки):
     root@kitploit:~

     OLLAMA_ORIGINS="*" ollama serve
     

3. Проверьте, что ваша модель существует (например, gemma3:4b) с помощью ollama list.
4. Перезагрузите расширение и попробуйте снова. Если ошибка 403 остаётся, проверьте логи Ollama.

Разрешения и конфиденциальность

• Опционально: webRequest + <all_urls> только если вы включите захват на нескольких вкладках.
• Данные: Хранятся локально; отслеживание/аналитика отсутствует.
• ИИ: Ваши API-ключи остаются локальными; содержимое запросов/ответов отправляется только выбранному провайдеру (Claude/Gemini) при использовании AI-функций.

⚠️ Ограничения

rep+ работает внутри Chrome DevTools, поэтому:

• Нет «сырых» HTTP/1 или некорректных запросов (ограничение fetch()).
• Некоторые заголовки нельзя переопределить (песочница браузера).
• Нет сырых TCP-сокетов (нельзя тестировать smuggling/pipelining).
• Ограничения панели DevTools накладывают ограничения на определённые элементы интерфейса.

rep+ лучше всего подходит для быстрого тестирования, повторного воспроизведения и экспериментов — не для полноценной низкоуровневой работы с HTTP.

История звёзд

Нашли ошибку или проблему?

Если вы столкнулись с ошибками, неожиданным поведением или у вас есть предложения по улучшению, пожалуйста, помогите мне улучшить rep+, создав issue здесь. Я постараюсь решить проблему как можно быстрее! 🙏

❤️ Поддержка проекта

Я поддерживаю rep+ в одиночку, в своё свободное время. Спонсорство помогает мне продолжать улучшать расширение, добавлять новые функции и быстро реагировать на проблемы.

Если rep+ сэкономил вам время при тестировании, разработке или в работе с bug bounty, пожалуйста, подумайте о поддержке проекта. Каждый доллар помогает. ❤️

Участники 🤝

Спонсоры