Scanner 与扩展

Burp 的 Scanner 会自动测试应用程序是否存在常见漏洞，让您可以专注于更困难的手动逻辑缺陷。

它仅在 Burp Suite Professional 和 Enterprise 版本中提供，Community 版本不提供。

Burp 扫描分为两个阶段：爬取用于发现应用程序的页面和输入，审计用于测试每个已发现的输入是否存在漏洞。

您可以仅运行爬取、仅运行审计，或同时运行两者。

被动扫描只观察您生成的流量，因此安全且无感。主动扫描会发送特制载荷，并可能改变服务器状态。

请尽可能只对已获授权的非生产目标使用主动扫描。

您可以在仪表板中使用 URL 启动扫描，也可以右键点击目标站点地图中的项目，然后选择“扫描”。

请严格限定扫描范围，以免扫描进入范围外的系统。

发现项会显示在问题活动列表中，并附有严重性和可信度评级。

可信度很重要：“确定”的 SQL 注入比“暂定”的 SQL 注入更可靠，应当优先验证。

自动化扫描器会产生误报。在将报告中的问题列入报告之前，请始终先在 Repeater 中重现该问题。

发现项署的是您的名字，而不是扫描器的名字。

扫描器擅长发现基于模式的漏洞，却会遗漏业务逻辑缺陷，例如访问控制失效、价格操纵和工作流绕过。

这些问题需要人类推理，这就是扫描只是起点而不是完整测试的原因。

Burp 的功能可以通过BApp Store扩展。它是 Extensions 选项卡中的社区扩展和官方扩展市场。

扩展可以添加新的扫描检查、解码器和集成功能。

对于严肃的测试工作，有几个扩展几乎必不可少。

• Logger++：高级请求日志记录。
• Autorize：自动化访问控制测试。
• Active Scan++：额外的扫描检查。
• JSON Web Tokens：编辑 JWT。

您可以使用 Montoya API，利用Java、Python（通过 Jython）或 Kotlin编写自定义扩展。

自定义扩展可以自动化处理与您正在测试的应用程序相关的特定逻辑。

专家工作流会将两者结合起来：让 Scanner 和扩展先全面查找明显问题，然后将时间花在逻辑缺陷以及验证扫描器输出上。

自动化可以扩大覆盖范围；人的判断则能发现深层漏洞。

您已经学习了如何使用 Scanner 和扩展实现自动化。

• Scanner 先爬取再审计；被动扫描安全，主动扫描会发送载荷。
• 问题带有严重性和可信度；始终在 Repeater 中进行验证。
• 扫描器会遗漏业务逻辑缺陷。
• BApp Store 提供 Autorize 和 Logger++ 等扩展。
• 通过 Montoya API 编写自定义扩展。

接下来，您将执行一次完整的端到端 Web 应用测试。