CookieHacker 不是下载一个能随便在应用商店搜到的工具。第一次听说它是下载在一个安全论坛的帖子里，有人贴了张截图，下载浏览器里整整齐齐列出某电商平台的下载会话 cookie，后面跟着一个“复制”按钮。下载发帖人说，下载这玩意儿原本是下载给渗透测试人员做会话劫持演示用的，结果被挂到 GitHub 上之后，下载下载量三天破了五万。下载

我顺着链接找过去，下载仓库已经 404 了。下载但 fork 版本还在，下载有个叫“cookiehacker-v2.3”的下载压缩包躺在某个网盘里，解压密码写在论坛回复的下载第三页。下载完打开一看，下载其实就是一个 Chrome 扩展的源码，加上一份 README，作者用半通不通的英语写着：仅供教育用途，别拿去干坏事。

这东西的原理不复杂。浏览器和服务器之间靠 cookie 维持登录状态，你输入账号密码，服务器验证通过后扔给你一个 session id，存在 cookie 里。之后每次请求，浏览器自动带上这个 id，服务器就知道你是谁。CookieHacker 干的事，就是把这个 id 从浏览器里抠出来，或者更狠一点，直接伪造一个。如果目标网站没做好防护，拿到 session id 的人就等于拿到了你的账号，不需要密码。

我在虚拟机里试了试。装好扩展，打开一个测试用的本地站点，登录，然后点扩展图标。面板弹出来，当前域下的所有 cookie 按名称、值、过期时间列成表格。点“导出”，生成一段 JSON。把这段 JSON 导入另一台虚拟机的浏览器，刷新页面——直接进去了。整个过程不到两分钟，没有任何弹窗提示，没有二次验证。说实话，那一刻我有点后背发凉。

但现实中的网站没那么好对付。HttpOnly 标记会让 JavaScript 读不到 cookie，Secure 标记限制只在 HTTPS 下传输，SameSite 属性把跨站请求的 cookie 拦下来。大厂们这些年被坑多了，该上的防护基本都上了。CookieHacker 能得手的，往往是那些后台管理系统、老旧的内网应用、或者开发者图省事没加防护的个人项目。我见过一个案例，某公司内部 OA 系统还在用 HTTP，cookie 里连 HttpOnly 都没设，员工在咖啡厅连个公共 Wi-Fi，会话就被抓走了。

下载渠道是个大问题。GitHub 原仓库没了之后，各种改版满天飞。有的加了后门，你用它去黑别人，它先把你浏览器里的 cookie 打包发到某个服务器。有个版本在代码里藏了段 base64，解码后是一个 Telegram bot 的 token。所以如果你真要下，至少得懂点 JavaScript，把源码从头到尾读一遍。别从那些“绿色破解版”网站下，别信“一键安装”的 exe，别关杀毒软件。

法律上更麻烦。未经授权拿别人的 cookie，在很多国家直接算非法访问计算机系统。国内刑法第二百八十五条写得清清楚楚，非法获取计算机信息系统数据，情节严重的话，三年起步。就算你只是在自己电脑上装个扩展玩玩，如果拿它去扫别人的站，性质就变了。我认识一个做渗透测试的朋友，每次用这类工具之前，必须拿到客户签字的授权书，否则碰都不碰。

说到底，CookieHacker 这类工具就像一把没锁的刀。放在厨房里切菜，没问题；拿到街上晃，警察不找你找谁。下载之前想清楚两件事：你拿来干什么，以及你能不能承担后果。如果答案含糊，那就别下。