扩展
扩展 Burp
扩展 是 CoddyKit 上的免费 Ethical Hacking Academy 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Ethical Hacking Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Ethical Hacking Academy 课程共包含 4 节课。
为什么要扩展 Burp
Burp 的核心功能涵盖了大多数测试需求，但扩展可以增加新的能力—例如新的扫描检查、自定义有效载荷、解码器和集成功能。借助扩展，您可以根据特定技术或工作流程定制 Burp。
BApp Store
BApp Store（Extensions > BApp Store）是 Burp 内置的社区扩展和 PortSwigger 扩展市场。您可以浏览扩展、阅读评分并一键安装。
Extensions > BApp Store > [browse] > Install扩展语言
扩展可以使用Java、Python（通过 Jython）或Ruby（通过 JRuby）编写。Python 和 Ruby 扩展要求您先在 Burp 设置中配置解释器 JAR。
Settings > Extensions > Python environment
Jython JAR: /opt/jython-standalone.jarMontoya API
现代 Burp 扩展使用 Montoya API，它为代理、扫描器、HTTP 处理器和用户界面提供接入点。旧版 Extender API 已弃用。扩展会注册处理器，由 Burp 在每次请求/响应时调用。
热门扩展：Logger++
Logger++ 为 Burp 的每个工具提供高级且可筛选的所有请求日志，并支持强大的搜索和导出功能—远超默认的 HTTP 历史记录。
热门扩展：Autorize
Autorize 可以自动执行授权测试。它会使用低权限用户的 Cookie 重放请求，以检测访问控制失效—标记那些本应被禁止访问却返回数据的端点。
Autorize: paste low-priv Cookie header
Green = enforced, Red = bypassed authz热门扩展：Active Scan++
Active Scan++ 会为默认扫描器容易遗漏的问题增加额外检查，例如主机标头攻击、边界情况注入和基于 DNS 的检测。它可以增强 Professional 扫描器的功能。
解码器与自定义有效载荷
Hackvertor 等扩展可以添加基于内联标签的编码/解码功能，并让您生成自定义有效载荷。当应用使用不常见的参数编码或签名方式时，这类扩展非常有价值。
Hackvertor tag example:
<@base64><@md5>payload<@/md5><@/base64>使用扩展处理会话
某些应用使用反 CSRF 令牌或签名请求，这会导致重放失败。扩展可以接入会话处理规则，自动获取新令牌或重新为请求签名，从而让 Intruder 和 Scanner 正常工作。
编写自己的扩展
如果有特殊需求，您可以编写自定义扩展。最小化的 Python 扩展会实现 registerExtenderCallbacks（旧版方式），或使用 Montoya 实现一个 initialize 方法，然后注册 HTTP 处理器。
def registerExtenderCallbacks(self, callbacks):
callbacks.setExtensionName("MyExt")
callbacks.registerHttpListener(self)审查扩展
扩展可以完全访问您的流量和 Burp 项目。请只安装可信扩展，优先选择 BApp Store 中的扩展，并尽可能审查源代码—恶意扩展可能会窃取客户的敏感数据。
快速检查
将扩展与任务匹配起来。
回顾
您已经学会扩展 Burp：
- BApp Store 可以一键安装扩展
- 扩展通过 Montoya API 使用 Java 或 Python/Ruby
- 关键工具：Logger++、Autorize、Active Scan++、Hackvertor
- 只安装可信扩展—它们可以查看您的所有流量
Burp Suite 课程到此完成。
常见问题解答
「扩展」课时是免费的吗？
是的 — 「扩展」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Ethical Hacking Academy 课程的其余内容，请升级到 CoddyKit PRO。 Ethical Hacking Academy 课程共包含 4 节课。
「扩展」这节课中我会学到什么？
扩展 Burp 你通过在浏览器中直接运行的动手代码来练习 Ethical Hacking Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Ethical Hacking Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Ethical Hacking Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「扩展」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Ethical Hacking Academy 课中编写并运行代码吗？
能。每节 Ethical Hacking Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。