reburp

Eine Burp-Suite-Erweiterung, die die vollständige Montoya-API als lokale REST-API mit Swagger UI bereitstellt

Issues | Discussions

Was ist reburp

reburp macht Burp Suite zu etwas, das du skripten kannst. Es lädt als Java-Erweiterung und stellt die Montoya-API über eine HTTP-REST-API auf http://127.0.0.1:9090 bereit, mit einer OpenAPI-Spezifikation und Swagger UI. Alles, was du in Burp anklicken würdest - den Proxy-Verlauf lesen, eine Anfrage senden, den Scope bearbeiten, einen Scan ausführen, ein Token dekodieren - wird zu einem JSON-Aufruf, den ein Agent oder eine curl-Zeile ausführen kann.

Es ergänzt sich mit der Agent-Skill burp-interaction, sodass ein KI- Assistent Burp direkt steuern kann.

• Was reburp ermöglicht
• Installation
• In Burp Suite laden
• API-Dokumentation
• Endpunkte
• Schnellstart
• Sicherheit
• API-Abdeckung
• Hinweise
• Mitwirken

Was reburp ermöglicht

Burp-Funktionen, die dein Agent jetzt über REST steuern kann:

• Scanner - einen aktiven Audit oder Crawl starten, eine laufende Aufgabe stoppen, den Bericht abrufen
• Intruder & Request Engine - Fuzzing, plus eine Turbo-Intruder-artige Hochdurchsatz-Engine (Warteschlange, Pause, Fortsetzen, Abbrechen)
• Target-Site-Map - den gesamten Zielbaum durchlaufen und durchsuchen, nicht nur den Proxy-Verlauf
• WebSockets - eine Verbindung öffnen und Text-/Binär-Frames senden, nicht nur den Verlauf lesen
• Engagement-Tools - einen CSRF-PoC generieren, Inhalte entdecken, Referenzen finden, an den Decoder senden
• Zugriffskontrolltests - eine Anfrage mit und ohne ihr Token wiederholen und die Antworten vergleichen, im Autorize-Stil (BOLA/BFLA)
• BChecks & Bambda - benutzerdefinierte Scan-Regeln importieren, Filterketten erstellen, benutzerdefinierte Issues melden

Installation

Lade das neueste reburp-*.jar von Releases herunter oder baue es aus dem Quellcode (erfordert Java 17+).

Kompatibilität

Jedes reburp-Release wird gegen eine minimale Burp-Suite-(Montoya-)Version gebaut. Bei einer älteren Burp- Version lade das passende Jar von Releases herunter.

Aus dem Quellcode bauen

Lade reburp.jar statt der versionierten Kopie. Burp lädt eine Erweiterung von dem Pfad neu, von dem sie geladen wurde, und der versionierte Name ändert sich bei jedem Release, sodass die unversionierte Datei nach einem Upgrade weiterhin neu geladen wird, statt dich stillschweigend auf dem vorherigen Build zu belassen.

Wenn dein JAVA_HOME nicht gesetzt ist, richte es auf dein JDK:

In Burp Suite laden

1. Burp Suite öffnen → Extensions → Installed → Add
2. Extension type: Java
3. Extension file: build/libs/reburp.jar (oder das reburp-*.jar, das du von Releases heruntergeladen hast)
4. Auf Next klicken - die Erweiterung startet automatisch auf Port 9090

Ein reburp-Tab erscheint in Burp und zeigt jeden REST-Aufruf, sobald er erfolgt.

Jede Zeile ist ein REST-Aufruf. Wenn du sie auswählst, werden die API-Anfrage und -Antwort angezeigt, sowie die Anfrage und Antwort, die reburp in deinem Namen an das Ziel gesendet hat.

API-Dokumentation

Nach dem Laden im Browser öffnen:

• Swagger UI: http://127.0.0.1:9090/docs
• OpenAPI-Spezifikation: http://127.0.0.1:9090/openapi.json

Die Spezifikation ist die maßgebliche Quelle für die Struktur von Anfragen und Antworten.

Endpunkte

Schnellstart

Sicherheit

Der REST-Server bindet nur an 127.0.0.1, aber der Port ist unauthentifiziert und antwortet auf jeden Origin. Alles, was localhost:9090 erreichen kann, kann Burp steuern, einschließlich einer Webseite, die in deinem Browser geöffnet ist. Behandle den Port als ausschließlich lokal vertrauenswürdig und setze ihn niemals über Loopback hinaus frei.

Aus diesem Grund ist die Ausführung von OS-Befehlen standardmäßig deaktiviert. /api/utils/shell/execute und /api/utils/shell/execute-raw geben 403 zurück, es sei denn, die Erweiterung sieht Folgendes in Burps eigener Prozessumgebung:

Wenn dies gesetzt ist, erhält jeder Origin, der den Port erreichen kann, Remote-Code-Ausführung auf dem Host. Aktiviere es nur, wenn du das akzeptierst. Jeder Aufruf wird in den Extension-Output-Tab geschrieben. GET /api/utils/shell/status meldet, ob es aktiviert ist, und erfordert dies nie.

API-Abdeckung

Die Behauptung der "vollständigen Montoya-API" wird mechanisch durch tools/api_coverage.py verifiziert, das der CI-Build-Workflow bei jedem Push ausführt und fehlschlägt, wenn eine abbildbare Methode nicht verfügbar gemacht wurde. Das Verhalten wird separat durch tools/smoke_test.py gegen eine geladene Erweiterung geprüft.

Hinweise

• Port ist fest auf 9090 gesetzt. Ändere port in BurpRestApiExtension.kt und baue neu, falls nötig.
• Nur-Pro-Endpunkte (Scanner, Collaborator) geben in der Community-Edition HTTP 403 mit einer erklärenden Meldung zurück.
• Montoya-API ist compileOnly - sie wird nicht mitgeliefert; Burp stellt sie zur Laufzeit bereit.
• Alle Antworten sind JSON. Fehler geben { "error": "..." } zurück.
• OpenAPI-Spezifikation wird aus OpenApiSpec.kt plus Fragmenten in docs/ zusammengesetzt. Um eine Routen- gruppe hinzuzufügen, schreibe ein *Paths()- und *Schemas()-Fragment und liste es in docs/OpenApiSpecExtra.kt auf.

Mitwirken

Issues und Pull Requests sind willkommen. Bitte führe python3 tools/api_coverage.py und ./gradlew shadowJar aus, bevor du einen PR öffnest. Neue Routengruppen sollten mit ihrem OpenAPI-Fragment ausgeliefert werden, damit die Dokumentation vollständig bleibt.