rep+

rep+ 是一款轻量级的 Chrome DevTools 扩展，灵感源自 Burp Suite 的 Repeater，如今加入了强大的 AI 能力。我经常需要摆弄几个请求，却不想为此启动整套 Burp 环境，因此我构建了这个扩展，借助内置的 LLM 支持，让工作流程更加快速、专注和智能。

🚀 安装 rep+ Chrome 扩展程序

功能特性

捕获与重放

无需配置代理；直接在 Chrome 中工作（无需 CA 证书）。
捕获所有 HTTP 请求，并可使用修改后的方法、请求头或请求体重放。
多标签页捕获（可选权限），带可视化指示器 🌍 和去重功能。
快速清空工作区；以 JSON 格式导出/导入请求，便于分享或后续复用。

组织与过滤

按页面和域名进行层级分组（第一方优先）。
第三方检测与可折叠分组；域名徽章提供快速上下文。
为请求、页面和域名添加星标（新匹配项自动加星）。
时间线视图（扁平、按时间顺序），查看请求之前加载的内容。
筛选器：方法、域名、颜色标签、文本搜索、正则模式。

视图与编辑

Pretty / Raw / Hex 视图；布局切换（水平/垂直）。
转换器：Base64、URL 编码/解码、JWT 解码、Hex/UTF-8。
历史记录、撤销/重做、请求/响应语法高亮。
请求编辑器上的上下文菜单辅助功能：
- 转换所选文本（Base64、URL 编码/解码、JWT 解码）。
- 复制为多种语言的完整 HTTP 请求：curl、PowerShell（Invoke-WebRequest）、Python（requests）和 JavaScript fetch。
请求/响应对的截图编辑器：完整内容捕获、并排或堆叠布局、缩放、高亮与黑框遮盖、可调整大小/可移动的标注、键盘删除，以及所有编辑操作的撤销/重做。

批量与自动化

批量重放，支持 4 种攻击模式：Sniper、Battering Ram、Pitchfork、Cluster Bomb。
使用 § 标记位置、配置载荷、暂停/恢复长时间运行。
响应差异视图，用于发现基线与尝试结果之间的变化。

提取器与搜索

统一提取器：从捕获的 JS 中提取密钥、端点和参数。
密钥扫描器：熵 + 模式匹配，带置信度评分；支持分页和域名过滤。
- 由 Kingfisher 规则驱动，实现全面的密钥检测
- 支持 AWS、GitHub、Google、Slack、Stripe、Twilio、Azure 等众多服务提供商
- 规则本地存储在 rules/ 目录中，可离线使用
- 注意：密钥扫描仅分析当前检查标签页中的 JavaScript 文件。
- 导出：将所有密钥导出为 CSV，便于分析和报告
端点提取器：完整 URL、相对路径、GraphQL；方法检测；一键复制（重建基础 URL）。
- 导出：将所有端点导出为 CSV，包含方法、端点路径、置信度和源文件
参数提取器：被动式 JavaScript 参数发现，具备智能分组和风险评估。
- 参数类型：从 JavaScript 文件中提取查询、请求体、请求头和路径参数
- 按端点分组：参数按端点组织，分组可展开/折叠
- 风险分级：自动识别高风险参数（认证、管理后台、调试标志、IDOR、功能开关）
- 置信度评分：比端点更严格的置信度模型，减少误报
- 智能过滤：抑制常见误报（webpack、React、jQuery、DOM 事件、遥测）
- 复制为 cURL：一键复制，生成包含所有参数且格式正确的 curl 命令
- 位置徽章：参数位置（查询/请求体/请求头/路径）的可视化指示器
- 域名过滤：按源域名过滤参数，并显示准确计数
- 列排序：按参数名称、位置、端点、方法、风险级别或置信度排序
- 导出选项：
  - CSV 导出：导出所有参数，包含位置、端点、方法、风险级别和置信度
  - Postman 集合导出：生成可直接导入的 Postman 集合 JSON，包含所有端点和参数
    - 自动按端点对参数分组
    - 包含查询、请求体和请求头参数
    - 使用 Postman 变量语法（{{paramName}}），便于测试
    - 非常适合希望将发现的 API 快速导入 Postman 的安全测试人员
响应搜索：正则支持、匹配预览、分页、域名过滤。

AI 辅助

Rep+ AI 辅助（交互式 LLM 聊天）

交互式聊天界面：与 AI 实时对话，讨论你的 HTTP 请求和响应
- 流式响应，实时渲染 Markdown
- 代码块语法高亮（支持多种语言）
- 代码块一键复制到剪贴板，带视觉反馈
- Token 用量计数器，带颜色编码警告
按请求的聊天历史：每个请求维护自己独立的对话历史
- 在请求之间切换时自动保存聊天
- 返回某个请求时恢复之前的对话
- “清除聊天”按钮仅重置当前请求的对话
交叉引用之前的请求：引用其他请求的调研结果
- “引用之前的请求”界面，列表可折叠/展开
- 选择要包含在上下文中的先前请求
- AI 会收到所引用请求的先前调研摘要
- 非常适合多步骤测试场景（例如：登录 → 认证请求）
请求修改：AI 可以直接在编辑器中修改请求
- “应用修改”按钮会在 AI 提出更改建议时出现
- 智能检测：仅在真正给出修改建议时显示
- 保留请求结构（请求头、格式、HTTP 版本）
- 动画应用，带视觉反馈
- 支持请求头更新、请求体修改和新增请求头
响应历史跟踪：跟踪重发产生的多个响应
- 按时间顺序维护所有响应的历史（原始 + 重发）
- AI 在分析变化时拥有所有响应的上下文
- 条件包含：仅在相关时包含完整历史（Token 优化）
智能上下文管理：智能 Token 优化
- 对大型响应进行截断（最多约 1,500 个 Token）
- 聊天历史压缩（总结较早的消息）
- 条件包含响应（仅在询问相关问题时）
- 将响应历史限制为最近 2-3 个响应
- 在对话历史中保留最近 15 条消息
多提供商支持：支持 Claude、Gemini 和本地 Ollama 模型
- 自动检测 Anthropic 和 Gemini API 的模型
- 本地模型可手动配置 URL/模型
- 所有提供商均支持流式输出
使用场景：
- 安全测试与渗透测试指导
- 请求/响应解释与调试
- 自动化请求修改以用于测试
- 漏洞赏金报告生成
- 漏洞识别与攻击向量建议
- 结合跨请求上下文进行多步骤攻击链规划

其他 AI 功能

解释请求（Claude/Gemini），支持流式响应。
建议攻击向量：请求 + 响应分析；无响应时自动发送；载荷建议；反射/错误/多步骤链；回退为仅请求分析并附带警告。
所选文本的上下文菜单“使用 AI 解释”。
攻击面分析：按域名分类（认证/支付/管理后台等），颜色编码图标，可在列表视图与攻击面视图之间切换。
导出 AI 输出为 Markdown 或 PDF，以节省 RPD/TPM。

效率与主题

7 款精美主题：从多种现代、精心设计的主题中选择：
- 🌙 深色（默认）：经典深色主题，专为长时间使用优化
- ☀️ 浅色：清爽的浅色主题，适合明亮环境
- 🎨 现代深色：灵感源自 VS Code Dark+ 的主题，增强对比度
- ✨ 现代浅色：GitHub 风格浅色主题，色彩清晰明快
- 💙 蓝色：冷色调蓝/青色配色，清新外观
- 🔆 高对比度：以无障碍访问为重点的主题，提供最大对比度
- 🖥️ 终端：黑底绿字的终端美学，复古风格
主题选择器：通过下拉菜单轻松即时切换主题
平滑过渡：动画主题切换，体验更精致
优化的语法高亮：所有主题均包含精心调校的配色，适用于：
- HTTP 方法、路径、请求头和版本
- JSON 键、字符串、数字、布尔值和 null 值
- 参数和 Cookie
- 请求方法徽章（GET、POST、PUT、DELETE、PATCH）
主题持久化：自动保存并恢复你的主题偏好
请求颜色标签和筛选器。
JSON/XML/HTML 语法高亮。

快速开始

打开 Chrome DevTools → “rep+”标签页。
浏览网页：请求自动捕获。
点击某个请求：立即查看原始请求/响应。
编辑并点击“发送”进行重放；使用 AI 按钮获取解释/攻击建议。
使用时间线、筛选器和批量重放进行更深入的测试。

安装

克隆仓库：

git clone https://github.com/bscript/rep.git

打开 Chrome 扩展程序：
- 在浏览器中访问 chrome://extensions/。
- 启用开发者模式（右上角的开关）。
加载扩展程序：
- 点击加载已解压的扩展程序。
- 选择你刚克隆的 rep 文件夹。
打开 DevTools：
- 按 F12 或右键单击 -> 检查。
- 找到 rep+ 标签页（可能需要点击 >> 溢出菜单）。

这种组合让 rep+ 对漏洞赏金猎人和漏洞研究人员非常实用，他们想要类似 Burp 的迭代体验，却不想使用笨重的 UI。安装扩展程序，打开 DevTools，进入 rep+ 面板，然后开始尽情测试吧。😎

本地模型（Ollama）配置

如果你使用本地模型（例如 Ollama），必须允许 Chrome 扩展程序调用它，否则会看到 403/CORS 错误。

停止所有正在运行的 Ollama 实例。
启用 CORS 后启动 Ollama（任选其一）：
- 仅允许 Chrome 扩展程序：
```
OLLAMA_ORIGINS="chrome-extension://*" ollama serve
```
- 允许所有来源（本地开发更简单）：
```
OLLAMA_ORIGINS="*" ollama serve
```
使用 ollama list 确认你的模型存在（例如 gemma3:4b）。
重新加载扩展程序并重试。如果仍然看到 403，请查看 Ollama 日志了解详情。