Extensões
Amplie o Burp
Extensões é uma aula grátis de Ethical Hacking Academy no CoddyKit. Esta é a aula 4 de 4. Você pode ler a aula completa abaixo gratuitamente — depois pratica ao vivo no navegador com um editor de código integrado e um tutor de IA 24/7. Faz parte do caminho de aprendizado de Ethical Hacking Academy, e seu progresso é sincronizado entre a web e o app CoddyKit. O curso de Ethical Hacking Academy inclui 4 aulas no total.
Por que ampliar o Burp?
O núcleo do Burp cobre a maioria dos testes, mas as extensões adicionam recursos — novas verificações de varredura, cargas úteis personalizadas, decodificadores e integrações. Elas permitem adaptar o Burp a tecnologias ou fluxos de trabalho específicos.
A BApp Store
A BApp Store (Extensions > BApp Store) é o marketplace integrado do Burp para extensões da comunidade e da PortSwigger. Você pode navegar, ler avaliações e instalar extensões com um clique.
Extensions > BApp Store > [browse] > InstallLinguagens das extensões
As extensões são escritas em Java, Python (por meio do Jython) ou Ruby (por meio do JRuby). Para usar extensões Python e Ruby, primeiro é necessário configurar o JAR do interpretador nas configurações do Burp.
Settings > Extensions > Python environment
Jython JAR: /opt/jython-standalone.jarA API Montoya
As extensões modernas do Burp usam a API Montoya, que disponibiliza pontos de integração com o proxy, o Scanner, os manipuladores HTTP e a interface do usuário. A API Extender mais antiga foi descontinuada. As extensões registram manipuladores que o Burp chama a cada solicitação/resposta.
Extensão popular: Logger++
Logger++ fornece um registro avançado e filtrável de todas as solicitações em cada ferramenta do Burp, com pesquisa e exportação poderosas — muito além do histórico HTTP padrão.
Extensão popular: Autorize
Autorize automatiza os testes de autorização. Ele reproduz solicitações usando os cookies de um usuário com poucos privilégios para detectar falhas no controle de acesso — sinalizando pontos de acesso que deveriam ser proibidos, mas retornam dados.
Autorize: paste low-priv Cookie header
Green = enforced, Red = bypassed authzExtensão popular: Active Scan++
Active Scan++ adiciona verificações extras para problemas que a ferramenta de varredura padrão não detecta, como ataques ao cabeçalho de host, injeções em casos extremos e detecções baseadas em DNS. Ele complementa a ferramenta de varredura Professional.
Decodificadores e cargas úteis personalizadas
Extensões como o Hackvertor adicionam codificação/decodificação embutida baseada em tags e permitem gerar cargas úteis personalizadas. Elas são inestimáveis quando um aplicativo usa codificação incomum ou assinatura de parâmetros.
Hackvertor tag example:
<@base64><@md5>payload<@/md5><@/base64>Gerenciamento de sessão com extensões
Alguns aplicativos usam tokens anti-CSRF ou solicitações assinadas que impedem a reprodução. As extensões podem integrar-se às regras de gerenciamento de sessão para buscar tokens novos ou assinar novamente as solicitações automaticamente, mantendo o Intruder e o Scanner funcionando.
Como escrever sua própria extensão
Para necessidades específicas, escreva uma extensão personalizada. Uma extensão Python mínima implementa registerExtenderCallbacks (legado) ou um método initialize com Montoya e, em seguida, registra um manipulador HTTP.
def registerExtenderCallbacks(self, callbacks):
callbacks.setExtensionName("MyExt")
callbacks.registerHttpListener(self)Avaliação das extensões
As extensões são executadas com acesso total ao seu tráfego e ao projeto do Burp. Instale somente extensões confiáveis, dê preferência à BApp Store e analise o código-fonte sempre que possível — uma extensão maliciosa pode exfiltrar dados confidenciais do cliente.
Verificação rápida
Associe a extensão à tarefa.
Recapitulação
Você aprendeu a ampliar o Burp:
- A BApp Store instala extensões com um clique
- As extensões usam Java ou Python/Ruby por meio da API Montoya
- Ferramentas principais: Logger++, Autorize, Active Scan++, Hackvertor
- Instale somente extensões confiáveis — elas veem todo o seu tráfego
Isso conclui o curso de Burp Suite.
Aprenda Ethical Hacking Academy com um tutor de IA — grátis
Escreva e execute código real no seu navegador, obtenha ajuda instantânea de um tutor de IA 24/7 e continue de onde parou na web ou no app.
- Cursos
- 31
- Aulas
- 111
Perguntas Frequentes
A aula “Extensões” é grátis?
Sim — o texto completo de “Extensões” é grátis para ler aqui na web. Para praticá-la interativamente (um editor de código integrado e um tutor de IA 24/7) e desbloquear o restante do curso de Ethical Hacking Academy, atualize para CoddyKit PRO. O curso de Ethical Hacking Academy inclui 4 aulas no total.
O que vou aprender em “Extensões”?
Amplie o Burp Você pratica Ethical Hacking Academy com código prático que executa diretamente no navegador, e um tutor de IA 24/7 responde suas dúvidas enquanto trabalha na aula.
Preciso ter experiência prévia para começar Ethical Hacking Academy?
Nenhuma experiência prévia é necessária. Ethical Hacking Academy no CoddyKit é estruturado para alunos iniciantes até avançados, então você pode começar aqui ou desde o início e aprender no seu ritmo. Esta é a aula 4 de 4.
Quanto tempo leva a aula “Extensões”?
A maioria das aulas CoddyKit leva cerca de 5–10 minutos. Cada uma é compacta e interativa, então você faz progresso constante e retoma exatamente de onde parou entre web e app.
Posso escrever e executar código nesta aula de Ethical Hacking Academy?
Sim. Cada aula de Ethical Hacking Academy inclui um editor de código integrado, então você escreve e executa código real direto no navegador e recebe feedback de IA instantaneamente — nenhuma configuração local necessária.