当一个 Chrome 扩展从 Web Store 被下架时，绝大多数用户认为它已「消失」，但事实上，该扩展在已安装的浏览器中仍然保有完整的功能和权限。这种「死后余生」的特性构成了一个隐蔽而持久的安全攻击面。本文从权限残留的技术机理出发，剖析其利用场景，并给出面向企业环境与个人用户的可操作检测清单与响应阈值。

移除机制的真相：扩展不会「自动消失」

Chrome Web Store 的移除操作本质上是一种「下架」行为，而非「卸载」。当开发者或 Google 主动将某个扩展从商店中移除时，Chrome 浏览器不会触发任何针对已安装用户的统一卸载流程。已安装的扩展仍然保留在用户的浏览器配置文件中，其 manifest.json 中声明的所有权限 —— 包括敏感权限如 cookies、tabs、webRequest、debugger、pageCapture 等 —— 仍然有效。这意味着一个曾经拥有数百万用户的扩展在被移除后，可以在毫不知情的用户浏览器中继续运行数月甚至数年。

这种设计并非 Chrome 的疏漏，而是 Chrome 扩展架构的「可移植性」特性的一部分。扩展的更新与分发完全依赖 Web Store，但不依赖 Web Store 来维持运行。然而，当扩展因安全原因被移除时（如发现恶意代码、供应链攻击或政策违规），这一特性就直接转化为安全负债。攻击者可以在扩展被移除后继续利用其残留权限收集敏感数据、注入广告脚本、进行中间人攻击，或将浏览器变为长期潜伏的僵尸节点。

攻击面分析：权限残留的利用路径

残留扩展的攻击价值在于其「隐姓埋名」的特性。由于扩展已从商店下架，用户无法通过正常渠道检查其更新状态，也无法在商店页面看到最新的安全评估。更关键的是，大多数用户根本不知道某个扩展已被移除。即使知道，用户也缺乏便捷的手段批量识别哪些已安装的扩展已经「失联」。

从技术攻击路径来看，残留权限可被用于以下场景。首先是数据窃取，拥有 cookies 或 identity 权限的扩展可以持续窃取登录会话，配合 webRequest 权限进行流量监控，将用户凭证发送至远程服务器。其次是注入攻击，拥有 scripting 或 content_scripts 权限的扩展可以在用户访问特定站点时注入恶意代码，实现广告注入、加密货币挖矿或钓鱼页面叠加。第三是网络层面攻击，拥有 vpnProvider 或 debugger 权限的扩展可以拦截所有浏览器流量，甚至完全控制网络请求。第四是长期潜伏，扩展可以在后台持续运行，定时与命令控制服务器通信，接受指令执行任意操作。

值得注意的是，即使扩展作者本身并无恶意，移除后的扩展也面临另一种风险：其代码仓库可能已被攻击者接管（供应链攻击），或者其依赖的第三方脚本已被篡改。由于扩展不再接收更新，这些安全漏洞永远无法被修补。

检测方案：面向不同场景的参数化策略

针对权限残留问题的检测，需要从自动化扫描和人工审计两个维度构建防线。以下是可落地的工程化参数与监控阈值。

自动化检测参数

对于企业环境，建议部署浏览器管理平台（如 Chrome Enterprise）的扩展策略控制，并将以下参数纳入日常扫描任务。扩展可用性检查周期应设置为每 72 小时一次，对所有已安装扩展的 ID 执行 Web Store API 查询，若返回 404 或扩展状态为「unlisted」且超过 30 天未更新，则标记为高风险。权限变更检测应对比扩展当前声明的权限与 manifest 版本的基准线，任何新增权限都应触发告警，敏感权限列表包括 debugger、pageCapture、webRequest、cookies、tabs、clipboardRead、geolocation、nativeMessaging 等。此外，应建立扩展更新延迟监控，扩展的最后更新时间与当前时间差距超过 14 天即触发警告，超过 60 天自动隔离。

手动审计清单

对于安全团队的手动审计流程，建议每月执行一次扩展清单审计。审计时应确认每个已安装扩展在 Web Store 中的状态为「正常」而非「已移除」或「不可用」。应检查扩展的更新频率，停止更新超过 30 天的扩展应接受代码审查。应验证扩展的开发者账号状态，若开发者账号已被 Google 暂停或终止，扩展应立即下架。还应审查扩展请求的权限与其功能是否匹配，过度请求权限的扩展应被标记。

用户侧响应参数

面向个人用户的简化响应策略包括：若发现扩展被移除，应立即手动卸载；若扩展已停止更新超过 90 天，即使未被移除也建议卸载；避免安装需要过多权限的扩展，特别是「全能型」扩展；定期访问 chrome://extensions 页面，检查是否存在未知或未使用的扩展。

根本性缓解：从架构层面减少权限残留风险

检测方案属于被动防御，从根本上降低此类风险需要从扩展开发与分发策略入手。开发者应在扩展中实现「死亡开关」机制，即在服务器端配置一个失效时间或撤销列表，当扩展无法连接到指定的验证服务器时自动禁用。Google 也可考虑在扩展被移除后向所有已安装用户推送卸载提示通知，或者为已移除扩展自动降低其权限等级至最小可用集。

对于企业安全团队而言，最务实的做法是将浏览器扩展纳入资产清册与漏洞管理流程，同等对待已安装的扩展与已部署的软件。当前的行业实践往往忽视了浏览器扩展这一「隐形资产」，但随着攻击者越来越多地利用这一路径，扩展安全理应成为纵深防御体系的关键一环。

参考资料

  • Chrome Enterprise Extension Management 官方文档
  • Chrome Web Store 开发者政策与下架机制说明