如何在所有 Chrome 扩展中搜索危险的 unsafe-eval？

正文介绍

　　在本指南中，我将向您展示如何在所有已安装的 Chrome 扩展程序中搜索危险的 unsafe-eval 内容安全策略。该方法也适用于安装在其他浏览器中的扩展，前提是扩展文件可以纯文本格式读取。

　　上周，围绕记录和出售用户浏览数据的一些扩展程序的新丑闻成为新闻。这次有超过 400 万个浏览器安装受到影响，这只是围绕阴暗浏览器扩展的一系列隐私相关问题中的最新一个。

　　有问题的扩展使用了一个有据可查的名为 unsafe-eval 的内容安全策略指令来下载远程有效负载并开始收集和传输浏览数据。

　　Chrome 扩展需要在扩展清单中声明 unsafe-eval 才能使用它。Chrome 网上商店不会突出显示用途，并且扩展程序在开发人员上传到商店时是干净的。

　　uBlock Origin 的开发者 Raymond Hill描述了围绕这些恶意扩展程序的问题，这些扩展程序在安装后通过以下方式将有效负载下载到用户系统：

　　为了使扩展能够在自己的上下文中执行远程代码，他们需要在 manifest.json 中显式声明“unsafe-eval”。

　　换句话说：这些扩展声明了 unsafe-eval 以便他们可以在以后的时间点下载有效载荷。

　　Hill 建议用户避免使用任何声明 unsafe-eval 的扩展；然而，这要求用户在点击“添加到 Chrome”按钮之前检查扩展的清单文件。

　　我们在 2015 年发布了Chrome 扩展程序验证指南，这是在安装之前验证任何 Chrome 网上应用店扩展程序的好资源。

　　这是一个简短的概述，因为您可能不想阅读整个长指南。

　　1、下载Chrome 扩展源查看器扩展。

　　2、打开要检查的扩展程序的配置文件页面。

　　3、单击 Chrome Extension Source Viewer 扩展的 CRX 图标，然后选择“查看源”。

　　4、选择 manifest.json 文件并检查 unsafe-eval，例如使用 F3 打开页面搜索。

　　虽然您可以打开每个已安装扩展的 manifest.json 文件以查看是否有任何使用了 unsafe-eval 声明，但您也可以一次搜索所有扩展以加快该过程。

　　这是如何完成的：

　　1、将出色的工具 Everything 下载到您的系统中。您也可以使用其他支持搜索文件内容的文本编辑器，例如UltraSearch或Notepad++。

　　2、通过右键单击该程序并选择“以管理员身份运行”来启动该程序。

　　3、选择搜索 > 高级搜索。

　　4、在“文件中的单词或短语”字段中键入 unsafe-eval。

　　5、选择 c: 驱动器（或系统上的同等驱动器），或立即选择扩展目录。

　　a、要查找路径，请在地址栏中加载 chrome://version/。

　　b、复制配置文件路径值，例如 C:\Users\Martin\AppData\Local\Google\Chrome\User Data\Profile 1

　　c、将其粘贴到“位于”字段中。

　　6、确保选择了“包括子文件夹”。

　　7、点击确定。

　　Everything 在整个文件夹结构和所有文件中搜索所选短语。关注 manifest.json 文件并双击它们以在默认文本编辑器中打开它们。使用内置搜索来搜索 unsafe-eval 以验证结果。

　　相同的方法应该适用于大多数其他浏览器。