Rozszerzenia
Rozszerzanie Burp
Rozszerzenia to bezpłatna lekcja Ethical Hacking Academy na CoddyKit. To lekcja 4 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej Ethical Hacking Academy, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs Ethical Hacking Academy zawiera 4 lekcji w sumie.
Po co rozszerzać Burpa?
Rdzeń Burpa obejmuje większość testów, ale rozszerzenia dodają nowe możliwości — dodatkowe testy skanowania, niestandardowe payloady, dekodery i integracje. Pozwalają dostosować Burpa do określonych technologii lub przepływów pracy.
BApp Store
BApp Store (Extensions > BApp Store) to wbudowany w Burpa katalog rozszerzeń społeczności i firmy PortSwigger. Można je przeglądać, czytać oceny i instalować jednym kliknięciem.
Extensions > BApp Store > [browse] > InstallJęzyki rozszerzeń
Rozszerzenia są pisane w językach Java, Python (za pośrednictwem Jython) lub Ruby (za pośrednictwem JRuby). W przypadku rozszerzeń Python i Ruby należy najpierw skonfigurować JAR interpretera w ustawieniach Burpa.
Settings > Extensions > Python environment
Jython JAR: /opt/jython-standalone.jarMontoya API
Nowoczesne rozszerzenia Burpa korzystają z Montoya API, które udostępnia punkty integracji z proxy, skanerem, modułami HTTP i interfejsem użytkownika. Starsze Extender API jest przestarzałe. Rozszerzenia rejestrują moduły obsługi, które Burp wywołuje przy każdym żądaniu i odpowiedzi.
Popularne rozszerzenie: Logger++
Logger++ udostępnia zaawansowany, filtrowalny dziennik wszystkich żądań ze wszystkich narzędzi Burpa, z rozbudowanym wyszukiwaniem i eksportem — znacznie wykraczający poza domyślną historię HTTP.
Popularne rozszerzenie: Autorize
Autorize automatyzuje testowanie autoryzacji. Ponownie wysyła żądania z ciasteczkami użytkownika o niskich uprawnieniach, aby wykrywać nieprawidłową kontrolę dostępu — oznaczając punkty końcowe, które powinny być zabronione, ale zwracają dane.
Autorize: paste low-priv Cookie header
Green = enforced, Red = bypassed authzPopularne rozszerzenie: Active Scan++
Active Scan++ dodaje dodatkowe testy skanowania pod kątem problemów pomijanych przez domyślny skaner, takich jak ataki na nagłówek hosta, nietypowe przypadki wstrzyknięć i wykrywanie oparte na DNS. Rozszerza ono skaner Professional.
Dekodery i niestandardowe payloady
Rozszerzenia takie jak Hackvertor dodają kodowanie i dekodowanie za pomocą znaczników w tekście oraz umożliwiają generowanie niestandardowych payloadów. Są niezwykle przydatne, gdy aplikacja stosuje nietypowe kodowanie lub podpisywanie parametrów.
Hackvertor tag example:
<@base64><@md5>payload<@/md5><@/base64>Obsługa sesji za pomocą rozszerzeń
Niektóre aplikacje używają tokenów anti-CSRF lub podpisywanych żądań, które uniemożliwiają ich ponowne odtwarzanie. Rozszerzenia mogą podłączać się do reguł obsługi sesji, aby automatycznie pobierać świeże tokeny lub ponownie podpisywać żądania, dzięki czemu Intruder i Scanner działają prawidłowo.
Pisanie własnego rozszerzenia
W przypadku wyjątkowych potrzeb można napisać niestandardowe rozszerzenie. Minimalne rozszerzenie w Pythonie implementuje registerExtenderCallbacks (starsze rozwiązanie) albo metodę initialize z Montoya, a następnie rejestruje moduł obsługi HTTP.
def registerExtenderCallbacks(self, callbacks):
callbacks.setExtensionName("MyExt")
callbacks.registerHttpListener(self)Weryfikowanie rozszerzeń
Rozszerzenia mają pełny dostęp do ruchu i projektu Burpa. Należy instalować wyłącznie zaufane rozszerzenia, preferować BApp Store i w miarę możliwości sprawdzać kod źródłowy — złośliwe rozszerzenie mogłoby wyprowadzać poufne dane klienta.
Szybki test
Dopasuj rozszerzenie do zadania.
Podsumowanie
Dowiedział się Pan / Dowiedziała się Pani, jak rozszerzać Burpa:
- BApp Store instaluje rozszerzenia jednym kliknięciem
- Rozszerzenia korzystają z języka Java albo Python/Ruby za pośrednictwem Montoya API
- Najważniejsze narzędzia: Logger++, Autorize, Active Scan++, Hackvertor
- Należy instalować wyłącznie zaufane rozszerzenia — mają one dostęp do całego ruchu
Na tym kończy się kurs Burp Suite.
Często zadawane pytania
Czy lekcja „Rozszerzenia” jest bezpłatna?
Tak — pełny tekst „Rozszerzenia” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu Ethical Hacking Academy, przejdź na CoddyKit PRO. Kurs Ethical Hacking Academy zawiera 4 lekcji w sumie.
Co nauczysz się w „Rozszerzenia”?
Rozszerzanie Burp Ćwiczysz Ethical Hacking Academy z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.
Czy potrzebuję doświadczenia, aby zacząć Ethical Hacking Academy?
Nie wymagamy żadnego doświadczenia. Ethical Hacking Academy w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 4 z 4.
Ile czasu zajmuje lekcja „Rozszerzenia”?
Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.
Czy mogę pisać i uruchamiać kod w tej lekcji Ethical Hacking Academy?
Tak. Każda lekcja Ethical Hacking Academy zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.