Extensions
Burpを拡張します
「Extensions」はCoddyKit上の無料Ethical Hacking Academyレッスンです。 これはレッスン4/4です。 下記で完全なレッスンを無料で読むことができます。その後、ブラウザ内の組み込みコードエディタと24時間対応のAIチューターでハンズオン演習できます。 これはEthical Hacking Academy学習パスの一部であり、ウェブとCoddyKitアプリ全体で進捗が同期されます。 Ethical Hacking Academyコースには全4レッスンが含まれています。
Burp を拡張する理由
Burp のコア機能でほとんどのテストに対応できますが、拡張機能を追加すると、新しいスキャンチェック、カスタムペイロード、デコーダー、連携機能などを利用できます — 特定のテクノロジーやワークフローに合わせて Burp を調整できます。
BApp Store
BApp Store（Extensions > BApp Store）は、コミュニティ製および PortSwigger 製の拡張機能を扱う、Burp 組み込みのマーケットプレイスです。参照、評価の確認、ワンクリックでのインストールができます。
Extensions > BApp Store > [browse] > Install拡張機能の言語
拡張機能は Java、Python（Jython 経由）、または Ruby（JRuby 経由）で記述します。Python と Ruby の拡張機能を使用するには、先に Burp の設定でインタープリター JAR を指定する必要があります。
Settings > Extensions > Python environment
Jython JAR: /opt/jython-standalone.jarMontoya API
現在の Burp 拡張機能では Montoya API を使用します。これは、プロキシ、スキャナー、HTTP ハンドラー、UI へのフックを提供します。旧 Extender API は非推奨です。拡張機能はハンドラーを登録し、Burp は各リクエストとレスポンスでそれらを呼び出します。
人気の拡張機能：Logger++
Logger++ は、すべての Burp ツールにまたがる全リクエストを、高度な検索とエクスポート機能付きで記録します。標準の HTTP 履歴をはるかに超える、強力でフィルタリング可能なログを提供します。
人気の拡張機能：Autorize
Autorize は認可テストを自動化します。権限の低いユーザーの Cookie を使ってリクエストを再生し、アクセス制御の不備を検出します — 禁止されるべきエンドポイントがデータを返していないかを確認します。
Autorize: paste low-priv Cookie header
Green = enforced, Red = bypassed authz人気の拡張機能：Active Scan++
Active Scan++ は、標準スキャナーが見逃す問題に対する追加のスキャンチェックを提供します。ホストヘッダー攻撃、特殊なケースのインジェクション、DNS ベースの検出などが対象です。Professional のスキャナーを補完する拡張機能です。
デコーダーとカスタムペイロード
Hackvertor などの拡張機能は、インラインのタグベースのエンコードとデコードを追加し、カスタムペイロードを生成できるようにします。アプリケーションがパラメーターに特殊なエンコードや署名を使用している場合に非常に役立ちます。
Hackvertor tag example:
<@base64><@md5>payload<@/md5><@/base64>拡張機能によるセッション処理
アプリケーションによっては、リプレイを妨げる anti-CSRF トークンや署名付きリクエストを使用します。拡張機能はセッション処理ルールにフックして、新しいトークンの取得やリクエストの再署名を自動化し、Intruder と Scanner が動作し続けるようにできます。
独自の拡張機能を作成する
固有の要件がある場合は、カスタム拡張機能を作成します。最小限の Python 拡張機能では、registerExtenderCallbacks（レガシー）または Montoya の initialize メソッドを実装し、HTTP ハンドラーを登録します。
def registerExtenderCallbacks(self, callbacks):
callbacks.setExtensionName("MyExt")
callbacks.registerHttpListener(self)拡張機能を審査する
拡張機能は、トラフィックと Burp プロジェクトに完全にアクセスできます。信頼できるものだけをインストールし、BApp Store の利用を優先してください。可能であればソースコードも確認します — 悪意のある拡張機能によって、クライアントの機密データが外部に流出する可能性があります。
理解度チェック
タスクに対応する拡張機能を選びましょう。
まとめ
Burp の拡張方法を学びました。
- BApp Store では拡張機能をワンクリックでインストールできる
- 拡張機能は Montoya API を介して Java または Python/Ruby を使用する
- 主要なツール：Logger++、Autorize、Active Scan++、Hackvertor
- 信頼できる拡張機能だけをインストールする — 拡張機能はすべてのトラフィックを確認できる
これで Burp Suite コースは完了です。
よくある質問
「Extensions」レッスンは無料ですか？
はい。「Extensions」の完全なテキストはこのウェブで無料で読めます。インタラクティブに演習し（組み込みコードエディタと24時間対応のAIチューター）、Ethical Hacking Academyコースの残りをアンロックするには、CoddyKit PROにアップグレードしてください。 Ethical Hacking Academyコースには全4レッスンが含まれています。
「Extensions」で何を学びますか？
Burpを拡張します ブラウザで直接実行するハンズオンコードでEthical Hacking Academyを演習し、24時間対応のAIチューターがレッスンを進める中での質問に答えます。
Ethical Hacking Academyを始めるのに経験は必要ですか？
事前経験は必要ありません。CoddyKitのEthical Hacking Academyは初級者から上級者向けに構成されているため、ここから始めるか最初から始めて、自分のペースで進むことができます。 これはレッスン4/4です。
「Extensions」レッスンにはどのくらい時間がかかりますか？
ほとんどのCoddyKitレッスンは約5～10分かかります。各レッスンはコンパクトでインタラクティブなので、着実に進歩し、ウェブとアプリ全体で正確に前回の場所から再開できます。
このEthical Hacking Academyレッスンでコードを書いて実行できますか？
はい。すべてのEthical Hacking Academyレッスンに組み込みコードエディタが含まれているため、ブラウザでリアルコードを書いて実行し、即座のAIフィードバックを取得できます。ローカル設定は不要です。
このコースのすべてのレッスン
- プロキシとインターセプト
- RepeaterとIntruder
- Scanner
- Extensions