装好Firefox，用教点开附加组件搜索“hackbar”，用教大概率你会看到两个版本。用教选那个带“Quantum”后缀的用教，旧版在Firefox 57之后已经废了。用教装完重启浏览器，用教按F12打开开发者工具，用教顶部标签栏里会多出一个“HackBar”的用教图标。点它，用教或者直接按F9，用教一个细长的用教工具条就弹出来了。

这玩意儿本质上就是用教个快捷构造HTTP请求的面板。你输入URL，用教勾选要用的用教参数，点Execute，用教它帮你发出去。听起来平平无奇，但手工测SQL注入、试XSS payload、扫目录的时候，比在地址栏里手敲编码快得多。

先搞清楚那几个勾选框

工具条上默认有Enable Post data、Enable Referrer、Enable User-Agent、Enable Cookies四个勾。勾上哪个，下面就会多出对应的输入框。不勾的时候它不显示，界面干净。

Post data这个最常用。比如你在测一个登录表单，想试万能密码，就在URL栏填目标地址，勾上Post data，输入框里写 username=admin' OR '1'='1&password=anything，点Execute。页面返回什么，直接就在浏览器里看到了。

有个细节：HackBar默认不做URL编码。如果你的payload里有空格、单引号、&符号，得自己先编码。点工具条上的“URL encoding”按钮可以帮你转，但它是整段转，有时候会把你不想转的也转了。我一般手动改，或者先在别处编好再粘进来。

Split URL和Execute的配合

Split URL这个功能容易被忽略。它把URL按?、&、=拆成多行，方便你逐段改参数。比如一个长URL带了七八个查询参数，拆开之后一眼就能找到要改的那个。改完再点Execute，它自动拼回去发请求。

我常用它来测IDOR。把 ?id=123 拆出来，改成124、125，快速遍历。比在地址栏里来回改快得多，而且不会因为手滑改错别的参数。

SQL injection那栏别抱太大期望

工具条上有个“SQL injection”子菜单，里面列了一些常见的注入语句，比如 ' OR '1'='1、UNION SELECT 1,2,3-- 之类的。点一下会自动填进Post data或者URL里。

说实话，这些预设payload很基础，实战中基本用不上。真正测注入的时候，数据库类型、字段数、过滤规则都不一样，得自己手工构造。这个菜单最大的价值是提醒你“这里可以试注入”，而不是真的能帮你注进去。

Cookie和User-Agent的快速切换

测权限绕过的时候，经常需要在不同Cookie之间切换。HackBar的Cookie输入框支持直接粘贴整段Cookie字符串，比在开发者工具的Application面板里改快。改完点Execute，请求就带着新Cookie出去了。

User-Agent同理。有些站点对移动端和PC端返回不同内容，或者对某些UA直接403。在HackBar里改UA比装插件切换快，尤其是一次性测试的时候。

几个实际会踩的坑

HackBar发请求用的是浏览器的fetch API，所以同源策略照样管着你。跨域请求会被CORS拦，返回结果你拿不到。测跨站的东西还是得用Burp或者Postman。

另外，它不会自动跟随重定向。302响应返回的就是302的响应体，你得自己看Location头。有时候目标站跳转到登录页，你以为请求失败了，其实只是没跟过去。

还有，新版Firefox对附加组件的权限管得严，HackBar有时候会提示“无法访问该页面”。遇到这种情况，在about:addons里把HackBar的“访问您在所有网站的数据”权限打开就行。

工具本身不复杂，花十分钟把每个按钮点一遍就摸清了。真正花时间的是构造payload和分析响应，那部分HackBar帮不了你。