repplus/rep-chromerep+ — HTTP-повторитель в стиле Burp для Chrome DevTools со встроенным ИИ для объяснения запросов и предложения атак
<p align="center">
<!-- Chrome Supported -->
<img src="https://img.shields.io/badge/Chrome-Supported-4285F4?logo=googlechrome&logoColor=white" alt="Chrome поддерживается">
<!-- AppSec Tool -->
<img src="https://img.shields.io/badge/AppSec-Tool-blueviolet" alt="Инструмент AppSec">
<!-- Bug Bounty Friendly -->
<img src="https://img.shields.io/badge/Bug%20Bounty-Friendly-orange" alt="Дружественный к Bug Bounty">
<!-- Stars -->
<a href="https://github.com/bscript/rep/stargazers">
<img src="https://img.shields.io/github/stars/bscript/rep?style=social" alt="Звёзды GitHub">
</a>
<!-- Discord -->
<a href="https://discord.gg/D25vDTXFUP">
<img src="https://img.shields.io/discord/1442955541293961429.svg?label=&logo=discord&logoColor=ffffff&color=7389D8&labelColor=6A7EC2" alt="Discord">
</a>
<!-- Sponsor -->
<a href="https://github.com/sponsors/bscript">
<img src="https://img.shields.io/badge/Sponsor-%F0%9F%92%96-ea4aaa?style=flat-square" alt="Спонсор">
</a>
</p>
# rep+
rep+ — это лёгкое расширение Chrome DevTools, вдохновлённое Repeater от Burp Suite, теперь с поддержкой ИИ. Мне часто нужно «потыкать» в несколько запросов, не запуская полный стек Burp, поэтому я создал это расширение, чтобы сделать рабочий процесс быстрым, сфокусированным и интеллектуальным благодаря встроенной поддержке LLM.
<img width="1713" height="986" alt="Screenshot 2025-12-26 at 15 35 43" src="https://assets.kitploit.com/production/public/readmes/10164/04b800db45f7fce651d67dcfac9b548373817507a0c612fef755947e051aba88.png" />
[](https://video.twimg.com/amplify_video/1992382891196571648/pl/zE5-oOXgVua1ZBQn.m3u8?tag=14)
## 🚀 Установить расширение rep+ для Chrome
[](https://chromewebstore.google.com/detail/rep+/dhildnnjbegaggknfkagdpnballiepfm)
## Содержание
- [Возможности](#features)
- [Быстрый старт](#quick-start)
- [Установка](#installation)
- [Разрешения и конфиденциальность](#permissions--privacy)
- [Ограничения](#-limitations)
- [История звёзд](#star-history)
- [Нашли ошибку или проблему?](#found-a-bug-or-issue)
- [❤️ Поддержка проекта](#️-support-the-project)
## Возможности
### Захват и воспроизведение
- Не требуется настройка прокси; работает напрямую в Chrome (сертификаты CA не нужны).
- Захват любого HTTP-запроса и повтор с изменёнными методом, заголовками или телом.
- Захват на нескольких вкладках (опциональное разрешение) с визуальными индикаторами 🌍 и дедупликацией.
- Быстрая очистка рабочей области; экспорт/импорт запросов в JSON для обмена или повторного использования.
### Организация и фильтрация
- Иерархическая группировка по странице и домену (приоритет для first-party).
- Обнаружение third-party и сворачиваемые группы; значки доменов для быстрого контекста.
- Звёздочки для запросов, страниц и доменов (автоматическая пометка для новых совпадений).
- Представление временной шкалы (плоское, хронологическое) для просмотра того, что загрузилось перед запросом.
- Фильтры: метод, домен, цветовые метки, текстовый поиск, режим регулярных выражений.
### Просмотр и редактирование
- Представления Pretty / Raw / Hex; переключение макета (горизонтальный/вертикальный).
- Конвертеры: Base64, URL-кодирование/декодирование, JWT-декодирование, Hex/UTF-8.
- История, отмена/повтор и подсветка синтаксиса для запросов/ответов.
- Вспомогательные пункты контекстного меню в редакторе запросов:
- Преобразование выделенного текста (Base64, URL-кодирование/декодирование, JWT-декодирование).
- **Копировать как** полный HTTP-запрос на нескольких языках: `curl`, PowerShell (`Invoke-WebRequest`), Python (`requests`) и JavaScript `fetch`.
- Редактор снимков для пар запрос/ответ: захват полного содержимого; расположение рядом или друг над другом; масштабирование; выделение и черное затемнение; изменяемые/перемещаемые аннотации; удаление клавишей Delete; отмена/повтор всех правок.
### Пакетные операции и автоматизация
- Пакетное воспроизведение с 4 режимами атак: Sniper, Battering Ram, Pitchfork, Cluster Bomb.
- Разметка позиций с помощью `§`, настройка нагрузок, пауза/возобновление длительных прогонов.
- Просмотр различий ответов для обнаружения изменений между базовым и пробными запросами.
### Извлекатели и поиск
- Унифицированный извлекатель: секреты, конечные точки и параметры из захваченного JS.
- **Secret Scanner**: энтропия + шаблоны с оценкой уверенности; пагинация и фильтр по домену.
- Работает на основе правил [Kingfisher](https://github.com/mongodb/kingfisher) для всестороннего обнаружения секретов.
- Поддерживает AWS, GitHub, Google, Slack, Stripe, Twilio, Azure и многих других поставщиков услуг.
- Правила хранятся локально в каталоге `rules/` для работы в офлайн-режиме.
- **Примечание**: Сканирование секретов анализирует только JavaScript-файлы из **текущей проверяемой вкладки**.
- **Экспорт**: Экспорт всех секретов в CSV для анализа и отчётов.
- **Endpoint Extractor**: полные URL, относительные пути, GraphQL; обнаружение метода; копирование одним кликом (восстанавливает базовый URL).
- **Экспорт**: Экспорт всех конечных точек в CSV с методом, путём, уверенностью и исходным файлом.
- **Parameter Extractor**: пассивное обнаружение параметров JavaScript с интеллектуальной группировкой и оценкой риска.
- **Типы параметров**: Извлекает параметры запроса, тела, заголовков и пути из JavaScript-файлов.
- **Группировка по конечной точке**: Параметры организованы по конечным точкам с раскрывающимися/сворачиваемыми группами.
- **Классификация риска**: Автоматически определяет параметры высокого риска (auth, admin, отладочные флаги, IDOR, флаги функций).
- **Оценка уверенности**: Более строгая модель уверенности, чем для конечных точек, для снижения числа ложных срабатываний.
- **Умная фильтрация**: Подавляет распространённые ложные срабатывания (webpack, React, jQuery, события DOM, телеметрия).
- **Копировать как cURL**: Один клик генерирует команду curl со всеми корректно оформленными параметрами.
- **Значки расположения**: Визуальные индикаторы для расположения параметра (query/body/header/path).
- **Фильтр по домену**: Фильтрация параметров по исходному домену с точными счётчиками.
- **Сортировка столбцов**: Сортировка по имени параметра, расположению, конечной точке, методу, уровню риска или уверенности.
- **Варианты экспорта**:
- **CSV-экспорт**: Экспорт всех параметров с расположением, конечной точкой, методом, уровнем риска и уверенностью.
- **Экспорт в коллекцию Postman**: Генерация готового к импорту JSON-файла коллекции Postman со всеми конечными точками и параметрами.
- Автоматическая группировка параметров по конечной точке.
- Включает параметры запроса, тела и заголовков.
- Использует синтаксис переменных Postman (`{{paramName}}`) для удобного тестирования.
- Идеально подходит для специалистов по безопасности, которые хотят быстро импортировать обнаруженные API в Postman.
- **Response Search**: поддержка регулярных выражений, предпросмотр совпадений, пагинация, фильтр по домену.
### AI-помощь
#### Rep+ AI Assistance (Интерактивный чат с LLM)
- **Интерактивный интерфейс чата**: Беседа в реальном времени с ИИ о ваших HTTP-запросах и ответах.
- Потоковые ответы с рендерингом Markdown в реальном времени.
- Подсветка синтаксиса для блоков кода (поддерживает несколько языков).
- Копирование в буфер обмена для блоков кода с визуальной обратной связью.
- Счётчик использования токенов с цветными предупреждениями.
- **История чата для каждого запроса**: Каждый запрос хранит собственную историю беседы.
- Автоматическое сохранение чата при переключении между запросами.
- Восстановление предыдущих бесед при возврате к запросу.
- Кнопка очистки чата сбрасывает только историю текущего запроса.
- **Ссылки на предыдущие запросы**: Возможность ссылаться на исследования из других запросов.
- Интерфейс «Ссылки на предыдущие запросы» со сворачиваемым/раскрываемым списком.
- Выбор, какие предыдущие запросы включить в контекст.
- ИИ получает сводки предыдущих исследований по запрошенным запросам.
- Идеально для многошагового тестирования (например, вход → аутентифицированный запрос).
- **Модификация запросов**: ИИ может напрямую изменять запросы в редакторе.
- Кнопка «Применить изменения» появляется, когда ИИ предлагает правки.
- Умное обнаружение: показывает только при фактических предложениях изменений.
- Сохраняет структуру запроса (заголовки, форматирование, версию HTTP).
- Анимация применения с визуальной обратной связью.
- Поддерживает обновление заголовков, изменение тела и добавление новых заголовков.
- **История отслеживания ответов**: Отслеживает несколько ответов от повторных отправок.
- Хранит хронологическую историю всех ответов (оригинал + повторные отправки).
- ИИ получает контекст всех ответов при анализе изменений.
- Условное включение: включает полную историю только при необходимости (оптимизация токенов).
- **Умное управление контекстом**: Интеллектуальная оптимизация токенов.
- Усечение больших ответов (максимум ~1500 токенов).
- Сжатие истории чата (сводки старых сообщений).
- Условное включение ответа (только когда о нём спрашивают).
- Ограничение истории ответов последними 2-3 ответами.
- Хранит последние 15 сообщений в истории беседы.
- **Поддержка нескольких провайдеров**: Работает с Claude, Gemini и локальными моделями Ollama.
- Автоматическое определение модели для API Anthropic и Gemini.
- Ручная конфигурация URL/модели для локальных моделей.
- Потоковая поддержка для всех провайдеров.
- **Примеры использования**:
- Тестирование безопасности и рекомендации по пентесту.
- Объяснение и отладка запросов/ответов.
- Автоматическая модификация запросов для тестирования.
- Генерация отчётов о найденных уязвимостях (bug bounty).
- Идентификация уязвимостей и предложение векторов атак.
- Планирование многошаговых цепочек атак с контекстом нескольких запросов.
#### Другие AI-функции
- **Explain Request (Claude/Gemini)** с потоковыми ответами.
- **Предложить векторы атак**: анализ запроса + ответа; автоматическая отправка, если нет ответа; предложение нагрузок; отражения/ошибки/многошаговые цепочки; откат к только запросу с предупреждением.
- **Контекстное меню «Объяснить с ИИ»** для выделенного текста.
- **Анализ поверхности атаки** по доменам: категоризация (Auth/Payments/Admin и т.д.), цветные значки, переключение между списком и представлением поверхности атаки.
- **Экспорт AI-выводов** в Markdown или PDF для сохранения RPD/TPM.
### Продуктивность и темы оформления
- **7 красивых тем**: Выбор из множества современных, тщательно проработанных тем:
- 🌙 **Тёмная (по умолчанию)**: Классическая тёмная тема, оптимизированная для длительных сессий.
- ☀️ **Светлая**: Чистая светлая тема для яркого окружения.
- 🎨 **Modern Dark**: Тема, вдохновлённая VS Code Dark+, с усиленным контрастом.
- ✨ **Modern Light**: Светлая тема в стиле GitHub с чёткими цветами.
- 💙 **Blue**: Холодная сине-голубая цветовая схема для свежего вида.
- 🔆 **Высокий контраст**: Тема для доступности с максимальным контрастом.
- 🖥️ **Терминал**: Эстетика зелёного на чёрном для ретро-настроения.
- **Выбор темы**: Удобное выпадающее меню для мгновенного переключения между темами.
- **Плавные переходы**: Анимированная смена темы для безупречного взаимодействия.
- **Оптимизированная подсветка синтаксиса**: Все темы включают тщательно настроенные цвета для:
- HTTP-методов, путей, заголовков и версий.
- JSON-ключей, строк, чисел, булевых значений и null.
- Параметров и cookie.
- Значков методов запросов (GET, POST, PUT, DELETE, PATCH).
- **Сохранение темы**: Ваш выбор темы сохраняется и восстанавливается автоматически.
- Цветовые метки запросов и фильтры.
- Подсветка синтаксиса для JSON/XML/HTML.
## Быстрый старт
1) Откройте Chrome DevTools → вкладка «rep+».
2) Переходите по страницам: запросы захватываются автоматически.
3) Нажмите на запрос: сразу увидите сырой запрос/ответ.
4) Отредактируйте и нажмите «Send» для повторного воспроизведения; используйте AI-кнопки для объяснения/предложений атаки.
5) Используйте временную шкалу, фильтры и пакетное воспроизведение для более глубокого тестирования.
## Установка
1. **Клонируйте репозиторий**:
```bash
git clone https://github.com/bscript/rep.git
```
2. **Откройте расширения Chrome**:
- Перейдите на `chrome://extensions/` в браузере.
- Включите **Режим разработчика** (переключатель в правом верхнем углу).
3. **Загрузите расширение**:
- Нажмите **Загрузить распакованное**.
- Выберите папку `rep`, которую только что клонировали.
4. **Откройте DevTools**:
- Нажмите `F12` или щёлкните правой кнопкой мыши → «Просмотреть код».
- Найдите вкладку **rep+** (возможно, придётся нажать на меню `>>`).
Такая комбинация делает rep+ удобным для охотников за багами и исследователей уязвимостей, которым нужна итерация как в Burp, но без громоздкого интерфейса. Установите расширение, откройте DevTools, перейдите на панель rep+ и начинайте хакать 😎.
### Настройка локальной модели (Ollama)
При использовании локальной модели (например, Ollama) необходимо разрешить расширениям Chrome обращаться к ней, иначе появятся ошибки 403/CORS.
1. Остановите запущенный экземпляр Ollama.
2. Запустите Ollama с включённым CORS (выберите один вариант):
- Разрешить только расширениям Chrome:
```bash
OLLAMA_ORIGINS="chrome-extension://*" ollama serve
```
- Разрешить всё (проще для локальной разработки):
```bash
OLLAMA_ORIGINS="*" ollama serve
```
3. Проверьте, что ваша модель существует (например, `gemma3:4b`) с помощью `ollama list`.
4. Перезагрузите расширение и попробуйте снова. Если ошибка 403 остаётся, проверьте логи Ollama.
## Разрешения и конфиденциальность
- **Опционально**: `webRequest` + `<all_urls>` только если вы включите захват на нескольких вкладках.
- **Данные**: Хранятся локально; отслеживание/аналитика отсутствует.
- **ИИ**: Ваши API-ключи остаются локальными; содержимое запросов/ответов отправляется только выбранному провайдеру (Claude/Gemini) при использовании AI-функций.
## ⚠️ Ограничения
rep+ работает внутри Chrome DevTools, поэтому:
- Нет «сырых» HTTP/1 или некорректных запросов (ограничение `fetch()`).
- Некоторые заголовки нельзя переопределить (песочница браузера).
- Нет сырых TCP-сокетов (нельзя тестировать smuggling/pipelining).
- Ограничения панели DevTools накладывают ограничения на определённые элементы интерфейса.
rep+ лучше всего подходит для быстрого тестирования, повторного воспроизведения и экспериментов — не для полноценной низкоуровневой работы с HTTP.
## История звёзд
[](https://www.star-history.com/#bscript/rep&type=date&legend=top-left)
## Нашли ошибку или проблему?
Если вы столкнулись с ошибками, неожиданным поведением или у вас есть предложения по улучшению, пожалуйста, помогите мне улучшить **rep+**, [создав issue здесь](https://github.com/bscript/rep/issues).
Я постараюсь решить проблему как можно быстрее! 🙏
## ❤️ Поддержка проекта
Я поддерживаю **rep+** в одиночку, в своё свободное время.
Спонсорство помогает мне продолжать улучшать расширение, добавлять новые функции и быстро реагировать на проблемы.
Если **rep+ сэкономил вам время** при тестировании, разработке или в работе с bug bounty, пожалуйста, подумайте о поддержке проекта.
**Каждый доллар помогает. ❤️**
## Участники 🤝
<a href="https://github.com/bscript/rep/graphs/contributors">
<img src="https://contrib.rocks/image?repo=bscript/rep" alt="Участники" />
</a>
---
<h3 align="center">Спонсоры</h3>
<p align="center">
<a href="https://github.com/projectdiscovery">
<img src="https://assets.kitploit.com/production/public/readmes/10164/5fc2a93532a694cbaf43bf6c75b75ece70c3dd4400867619dd4903fe6e0899ad.jpg" width="60" style="border-radius:50%;" alt="Спонсор"/>
</a>
<a href="https://github.com/Snownin9">
<img src="https://assets.kitploit.com/production/public/readmes/10164/1e52880b3165271fe8db4e6ea8f0082a711f2d25b8ebf99b17fcd15dfbf0b1ab.jpg" width="60" style="border-radius:50%;" alt="Спонсор"/>
</a>
<a href="https://github.com/exxoticx">
<img src="https://assets.kitploit.com/production/public/readmes/10164/ae23a9a306db6edb6702646682071fdb7d0ea2980f0bc326c90d63d3712dbd45.png" width="60" style="border-radius:50%;" alt="Спонсор"/>
</a>
<a href="https://github.com/eduquintanilha">
<img src="https://assets.kitploit.com/production/public/readmes/10164/17a40bc3df05eff27ae2be1bbf74c0debc723e3ea0bc4d4396372f16c754d337.jpg" width="60" style="border-radius:50%;" alt="Спонсор"/>
</a>
<a href="https://github.com/Snownull">
<img src="https://assets.kitploit.com/production/public/readmes/10164/da85d8face18078f1c703afd17fd40ae45ae8cd5e302a42ad8c480dd36055bca.jpg" width="60" style="border-radius:50%;" alt="Спонсор"/>
</a>
<a href="https://github.com/assem-ch">
<img src="https://assets.kitploit.com/production/public/readmes/10164/1712edebbd27c2a2a6104842ba7c87f1d04818e7aafc4d46f7a83da0ddb9c491.png" width="60" style="border-radius:50%;" alt="Спонсор"/>
</a>
<a href="https://github.com/MrTurvey">
<img src="https://assets.kitploit.com/production/public/readmes/10164/3f07b142768549ca3fac6f4427beb28ca612148a182d9076a1c84826163dbfa8.png" width="60" style="border-radius:50%;" alt="Спонсор"/>
</a>
<a href="https://github.com/greenat92">
<img src="https://assets.kitploit.com/production/public/readmes/10164/e4ab03b849035140338c986d5daa958dda223b46b4379947fbbbc35b1ca8ef9e.png" width="60" style="border-radius:50%;" alt="Спонсор"/>
</a>
<a href="https://github.com/tixxdz">
<img src="https://assets.kitploit.com/production/public/readmes/10164/4d9200ec9b1c662832a210742381c13a1bcd3c9f67ad0b2ab860cf7b7f360253.jpg" width="60" style="border-radius:50%;" alt="Спонсор"/>
</a>
</p>
<p align="center">
<a href="https://github.com/sponsors/bscript">
<img src="https://img.shields.io/badge/Become%20a%20Sponsor-%F0%9F%92%96-ea4aaa?style=for-the-badge" alt="Стать спонсором"/>
</a>
<a href="https://github.com/user-attachments/assets/8e6933b5-8579-480b-99cf-161a392b4153">
<img src="https://img.shields.io/badge/Bitcoin%20Sponsor-%E2%82%BF-f7931a?style=for-the-badge&logo=bitcoin&logoColor=white" alt="Спонсор Bitcoin"/>
</a>
</p>