用途：面向扩展文件（crx/xpi/zip）做逆向分析，包括恶意扩展行为定位、权限审计、过度授权判断、远程代码与更新投毒（首版干净后续版本恶意）识别。不适用于纯网页 JS 混淆（另有 re-script-deob 覆盖）与浏览器自身漏洞利用。
主要能力：解包与结构梳理（manifest.json、背景脚本、内容脚本、页面、资源）；权限审计（tabs、storage、webRequest、scripting、clipboardRead、cookies、history、downloads、nativeMessaging、debugger 等，以及 host_permissions 站点权限）；恶意行为定位（数据外泄、注入面、键盘记录、触发时机）；混淆还原与远程代码识别；更新机制与版本投毒分析；沙箱内动态验证。
使用方式：用 unzip/7z 或 python3 -m zipfile -e sample.crx ext/ 解包（crx 含 Cr24 头，unzip 会报 extra bytes 警告但结果正确；xpi 即纯 zip）；用 jq 解析 manifest 字段；用 js-beautify 格式化压缩 JS；用 grep -rniE 'http|sendBeacon|fetch|XMLHttpRequest|chrome.' ext/ 扫全包。动态验证在沙箱内进行：Chromium 系用 chrome://extensions 开发者模式 Load unpacked，Firefox 用 about:debugging#/runtime/this-firefox 加载临时附加组件。
适用场景：扩展权限与声明用途对照、恶意扩展分析、更新后恶意检测（版本 diff）、C2 与 IOC 提取。
限制与注意：动态加载扩展跑恶意行为属执行未知代码，必须在沙箱内进行；MV2 与 MV3 权限模型不同（MV3 禁远程代码、后台改 service worker），需先确认 manifest_version；MV3 service worker 空闲约 30 秒被终止，持久状态在 chrome.storage 或 IndexedDB；Firefox MV3 不支持 background.service_worker，需用 background.scripts；Firefox 更新只经 AMO，update_url 不生效。具体工具安装命令与更多差异细节以原资料为准。