Burp Suite常用外掛說明

一、sqlmap外掛

使用sqlmap.jar可以在測試時通過右鍵選單快速把當前測試資料包進行SQLMAP測試

二、hackebar外掛

使用HackBar.jar可以在Burp中使用hackebar功能，具體功能如下：

1、SQL注入：

猜欄位數：如果欄位數過大，手動輸很麻煩
    order by、group by、
聯合查詢：如果欄位數過大，手動輸很麻煩
    union select、int、NULL
獲取資料資訊等等

2、報錯查詢

3、萬能密碼

4、XSS測試

5、常用檔案路徑

日誌、目錄遍歷、各系統常用檔案路徑等

6、XXE測試

7、快速生成各種shell，反彈shell等

3、Content Type Converter

該外掛可以快速互相轉換XML到JSON
https://github.com/portswigger/content-type-converter

4、Wsdler

該外掛可以自動識別wsdl介面資料並自動測試,就可以不用soapui工具進行測試了。解析WSDL檔案並生成對列舉端點的SOAP請求。

5、Jpython

Jython使用JAVA寫的呼叫python的一個jar包，要想使Burp呼叫python外掛就則使用此。

注意Burp載入jpython.jar時不要有中文路徑，載入python外掛時也不要有中文，所以推薦他們放在一起。

6、Additional Scanner Checks

該外掛可以被動掃描DOM型XSS以及HTTP頭安全欄位檢查、HTTP重定向到HTTPS：Burp-MissingScannerChecks.py

專案地址：https://github.com/portswigger/additional-scanner-checks

7、Copy As Python-Requests

此外掛可以把請求轉換為python的request模組請求程式碼。

8、CSRF Token Tracker

此外掛通過簡單的配置會自動更新token值，這樣就不用在Burp設定巨集功能了。

9、EsPReSSO

該工具可自動識別單點登入協議並自動解析記錄且可編輯，支援的協議：SAML、OpenID、OAuth、BrowserId、OpenID Connect、Facebook Connect、Microsoft Account

10、J2EEScan

該外掛完全整合到Burp Suite Scanner中; 它添加了一些新的測試用例和新策略來發現不同型別的J2EE漏洞,如:struts漏洞、XXE、Apache、Weblogic、Oracle等等很多漏洞

11、JSON Beautifier

當返回的json資料過多時，該外掛可以美化JSON資料，對中文不太友好。

12、JSON Web Tokens

對於使用JWT作為token使用的，可以通過此外掛來分析JWT資料。

13、Logger ++

可以使用此外掛，記錄Burp Suite中特定工具的所有請求和響應，還可以生成CVS格式，可以用來儲存爬蟲爬行的目錄、一個網站的所有請求等