打开Firefox的开发者工具，切到控制台，敲下 hackbar 然后回车——如果你看到的是“未定义”，那说明这个老伙计还没被装进来。HackBar，一个曾经在渗透测试圈子里几乎人手一份的Firefox插件，如今在最新版浏览器上已经很难直接搜到了。它的核心功能简单到有点粗暴：把URL拆成参数、快速提交GET/POST请求、内置一些编码转换和SQL注入辅助模块。很多人第一次接触手工注入，就是靠它那排整齐的输入框。

我最早用HackBar是在2016年。那时候Firefox还能直接安装XPI文件，装完之后按F9就能呼出一个深色小面板。面板上有“Load URL”、“Split URL”、“Execute”几个按钮，下面一排勾选框对应SQL、XSS、加密之类的快捷载荷。当时觉得最顺手的是“Post data”那个框——不用反复改HTML表单，直接往里面塞 username=admin'-- 就能看回显。后来Chrome也有类似扩展，但操作逻辑总差那么点意思。

检测HackBar是否还在工作，其实不用太复杂。打开一个带参数的页面，比如 http://test.com/news.php?id=1，按F9调出面板。如果“Load URL”能把完整地址填进去，并且“Split URL”正确把 id=1 拆到参数栏，那基本功能就是正常的。接着点“Execute”，看页面是否根据参数变化刷新。这一步能过，说明请求转发没被浏览器拦截。

真正容易出问题的是编码转换。HackBar内置了URL编码、Base64、十六进制、MD5这些。你选中一段文字，点“URL Encode”，它应该立刻变成 %20 之类的形式。我遇到过几次，插件图标亮着，但编码按钮点下去没反应。查了半天发现是浏览器权限策略变了——新版Firefox禁止扩展直接操作剪贴板，而HackBar的编码功能依赖剪贴板读写。解决办法要么降级浏览器，要么换用独立工具比如Burp Suite的Decoder。

另一个隐蔽的坑是SQL注入辅助模块。HackBar会往参数里插入 order by、union select 这类语句，然后自动提交。但如果你目标站有WAF，这些请求会被直接拦掉。这时候面板上不会报错，只是返回一个空白页或者403。你得手动去看网络请求，确认是插件没发出去，还是发出去了被拦截。我习惯在HackBar里把“Use Proxy”勾上，让它走Burp的代理端口，这样每一步请求都能在Burp里看到原始报文。

说到版本，HackBar 2.0之后作者基本停更了。现在GitHub上有人维护非官方分支，改名叫“HackBar Quantum”，适配Firefox 57以上的WebExtensions架构。装这个版本需要先开启 about:config 里的 xpinstall.signatures.required 为 false，然后拖XPI文件进浏览器。装完检查一下 about:addons 里有没有报错，如果有“无法验证签名”的提示，说明系统策略还没放开。

最后提一个实际案例。上个月帮朋友测一个老站，后台登录点存在布尔盲注。我用HackBar的“Load URL”载入登录接口，在Post data里填 user=admin' AND 1=1-- -&pass=123，返回“密码错误”；改成 AND 1=2，返回“用户不存在”。两次响应长度差了几百字节，说明注入点有效。整个过程没开Burp，就靠HackBar来回改参数。方便是真方便，但前提是你得确认它真的在干活——而不是你以为它在干活。