Chrome调试Token原理与实战：从抓包分析到安全实践

1次阅读

共计 2828 个字符，预计需要花费 8 分钟才能阅读完成。

用 Wireshark 捕获 localhost:9222 的流量时，可以看到类似这样的 WebSocket 握手请求（过滤条件：tcp.port == 9222 && http）：

GET /devtools/page/ABC123 HTTP/1.1
Host: localhost:9222
Connection: Upgrade
Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==
Sec-WebSocket-Version: 13

HTTP/1.1 101 Switching Protocols
Upgrade: websocket
Connection: Upgrade
Sec-WebSocket-Accept: s3pPLMBiTxaQ9kYGzzhZRbK+xOo=

[加密的 WebSocket 数据帧]

关键发现：

Chrome 会在首次启动调试端口时在 /json 接口返回 Token
后续所有 WebSocket 连接都需要在 URL 路径中包含该 Token
未加密的 HTTP 调试端口会明文传输 Token

chrome --remote-debugging-port=9222

特点：

生成随机 Token 并打印在终端
Token 存储在内存中，关闭浏览器后失效
所有页面共享同一个 Token

chrome --user-data-dir=/tmp/chrome-debug \
       --remote-debugging-port=9222

特点：

Token 会持久化到 /tmp/chrome-debug/DevToolsActivePort 文件
包含两行内容：端口号和 Token
不同用户目录使用独立 Token

import websockets
import ssl
import json

async def connect_cdp():
    # 从文件或环境变量获取 Token
    token = "ABC123"  # 实际应从安全存储读取

    # 创建 SSL 上下文（生产环境必须启用）ssl_context = ssl.SSLContext(ssl.PROTOCOL_TLS_CLIENT)
    ssl_context.verify_mode = ssl.CERT_REQUIRED

    async with websockets.connect(f"wss://localhost:9222/devtools/page/ABC123?token={token}",
        ssl=ssl_context
    ) as ws:
        # 发送 CDP 命令
        await ws.send(json.dumps({
            "id": 1,
            "method": "Runtime.evaluate",
            "params": {"expression": "1+1"}
        }))

        # 接收响应
        response = await ws.recv()
        print(json.loads(response))

安全要点注释：

ssl.PROTOCOL_TLS_CLIENT 强制使用 TLS 1.2+ 加密
CERT_REQUIRED 验证服务器证书有效性
Token 必须通过安全信道传输

关键校验逻辑在src/chrome/browser/devtools/devtools_http_handler.cc：

bool IsValidFrontendURL(const GURL& url) {
  // 检查路径是否包含有效 Token
  std::string path = url.path();
  if (path.find(devtools_token_) == std::string::npos) {return false;}

  // 使用 HMAC-SHA256 验证 Token
  std::string computed_token = 
      base::SHA256HashString(kDevToolsSecret + host);
  return computed_token == devtools_token_;
}

攻击者扫描开放了 9222 端口的服务器
通过 /json 接口获取活动页面列表
注入恶意 JS 代码执行任意命令

# 生产环境启动参数（禁止 WebSocket 调试）chrome --disable-devtools \
       --disable-remote-debugging

企业级方案：

使用 VPN 隔离调试环境
通过 SSH 隧道转发调试端口
定期轮换 Token（参考下方 Node.js 脚本）

// token-rotator.js
const fs = require('fs');
const crypto = require('crypto');

class TokenManager {constructor(k8sSecretName) {
    this.secretName = k8sSecretName;
    this.currentToken = this.generateToken();}

  generateToken() {return crypto.randomBytes(32).toString('hex');
  }

  async syncWithK8s() {
    // 实际实现需使用 @kubernetes/client-node
    console.log(`Updating ${this.secretName} in Kubernetes`);
    this.currentToken = this.generateToken();
    fs.writeFileSync(
      '/tmp/chrome-debug/DevToolsActivePort', 
      `9222\n${this.currentToken}`
    );
  }
}

// 每小时轮换一次
setInterval(() => {new TokenManager('chrome-debug-token').syncWithK8s();}, 3600 * 1000);

安全远程调试方案：
使用 SSH 端口转发：ssh -L 9222:localhost:9222 user@remote
基于 mTLS 的双向认证
限时开启调试端口
Chrome Token vs JWT：
相同点：都使用 HMAC 签名防篡改
不同点：
- JWT 包含标准声明(exp/iss 等)
- Chrome Token 无固定格式
- JWT 通常用于跨系统认证
- Chrome Token 仅限本地调试