BurpSuite中的安全測試插件推薦

Burp Suite 是用於攻擊web 應用程序的集成平臺。它包含了許多工具，併爲這些工具設計了許多接口，以促進加快攻擊應用程序的過程。全部的工具都共享一個能處理並顯示HTTP 消息，持久性，認證，代理，日誌，警報的一個強大的可擴展的框架。

不管是收費版仍是免費版，Burp Suite 這個軟件都提供了必定數量的插件，這些插件極大的方便了咱們平時的滲透工做。在BAPP Store中有不少開發好的插件代碼，能夠下載下來，安裝後，在指定的目錄下面會有相應的python代碼或者jar包存在，這些都是很好的學習代碼，推薦幾個比較好用的插件：

0x01 AuthMatrix

AuthMatrix是一款用於檢測越權漏洞的Burp Suite插件，設置好session就能進行自動化測試。

項目主頁：https://github.com/SecurityInnovation/AuthMatrix

類似功能的插件還有：Authz。Authz會先訪問一遍接口抓包，而後「Send request(s) to Authz」，設置低權限的cookie，「Run」就會使用低權限的cookie去請求，結果會匹配給出類似度百分比，能夠查看每一個請求的詳細。半自動測試。

0x02 J2EEScan

J2EEScan是一個基於Web安全掃描套件Burp Suite Proxy的插件， 增長了針對J2EE應用的安全掃描測試項目。它增長了一些新的測試用例和新策略去發現不一樣的J2EE安全漏洞。

項目主頁：https://github.com/ilmila/J2EEScan

0x03 activeScan++

該插件主要是在主動掃描和被動掃描時，爲了加強掃描漏洞效果。增長了一些自己自動化掃描沒有的漏洞檢查。

項目主頁：https://github.com/albinowax/ActiveScanPlusPlus

0x04 LFI scanner checks

LFI scanner checks是國人爲burp輕量級掃描器作的一個檢測LFI漏洞插件。

連接: http://pan.baidu.com/s/1cqW4VG 密碼: 6y1d

0x05 BypassWAF

咱們在滲透測試有時遇到WAF（應用層防火牆），這每每使人頭疼。Burp Suite是響噹噹的web應用程序滲透測試集成平臺，而這款插件能夠幫助你繞過某些WAF。

將來功能：

自動在GET/POST實現HPP攻擊測試

自動進行HTTP Request Smuggling攻擊

項目主頁：https://github.com/codewatchorg/bypasswaf

0x06 s1riu5TheFloor

burpsuite和sqlmap是滲透測試中最經常使用到的兩大神器。最經常使用的功能是利用burpsuite攔截http請求，而後用sqlmap的r參數讀取。s1riu5TheFloor就是一款聯動burpsuite和sqlmap的插件。

缺點：適用於Mac，沒作跨平臺適配

項目主頁：https://github.com/5ir1us/Tarot/tree/master/s1riu5TheFloor

類似功能的插件還有CO2。該插件包含諸多功能，如SQLMapper、User Generator、Prettier JS、ASCII Payload Processo、Masher 等功能。可是調用的不是sqlmap的r參數，而是u參數，沒法實現對http請求的所有利用。

0x07 BurpKit

插件BurpKit提供了雙向JavaScript橋樑API，容許用戶在同一時間迅速建立可以直接與DOM交互的BurpSuite插件，以及Burp的擴展API。此舉讓BurpSuite插件開發人員得以直接在DOM自身運行他們的web應用程序，在檢測自身邏輯的同時還能夠利用BurpSuite的其餘功能。

項目主頁：https://github.com/allfro/BurpKit/releases

0x08 CSRF Scanner

CSRF Scanner是一款CSRF漏洞的測試工具，主動掃描CSRF漏洞問題，主要是了增強burpsuite中的CSRF掃描功能。

能夠從「 Bapp Store」 界面左側選擇」 CSRF Scanner」, 導航到右側點擊「 install」來進行安裝

0x09 s1riu5TheMagician

s1riu5TheMagician是一款信息採集插件。支持C段端口掃描、子域名查詢、敏感文件掃描等功能

項目主頁：https://github.com/5ir1us/Tarot/tree/master/s1riu5TheMagician

0x10 Java-Deserialization-Scanner

Java-Deserialization-Scanner是一個BurpSuite的插件，用來自動化的發現java反序列化漏洞

項目主頁：https://github.com/federicodotta/Java-Deserialization-Scanner

0x11 CSP-Bypass

CSP-Bypass是一個使用Python編寫的一個Burp插件，他可使用已知道的方法去嘗試網站CSP的安全性，是否可以繞過。

項目主頁：https://github.com/moloch–/CSP-Bypass

0x12 JSON Decoder

JSON Decoder能夠將json數據格式化，比較方便查看。

能夠從「 Bapp Store」 界面左側選擇」 JSON Decoder」, 導航到右側點擊「 install」來進行安裝

0x13 Additional Scanner Checks

Additional Scanner Checks是一款PDF元數據被動掃描插件，用於檢查PDF文件

項目主頁：https://github.com/luh2/PDFMetadata

Burpsuite插件收集項目

項目主頁：https://github.com/xl7dev/BurpSuite/tree/master/Extender

提供了大量實用的Burpsuite插件

BurpSuite 的 Intruder Payloads：

項目主頁：https://github.com/1N3/IntruderPayloads

原文地址：http://www.mottoin.com/90188.html