SILENTCHAIN

KI-gestützte Schwachstellen-Scanner-Erweiterung für Burp Suite mit Multi-Provider-Unterstützung (Ollama, OpenAI, Claude, Gemini)

Hinweis: Dies ist die Community Edition. Kommerzielle und Professional-Editionen mit erweiterten Funktionen sind separat erhältlich.

🌟 Überblick

SILENTCHAIN AI™ - Community Edition ist eine Burp-Suite-Erweiterung, die die Leistungsfähigkeit künstlicher Intelligenz für Sicherheitstests von Webanwendungen nutzt. Mit fortschrittlichen KI-Modellen führt SILENTCHAIN eine intelligente passive Analyse des HTTP-Datenverkehrs durch, um OWASP-Top-10-Schwachstellen, Sicherheitsfehlkonfigurationen und potenzielle Angriffsvektoren zu identifizieren.

Warum SILENTCHAIN?

Herkömmliche Sicherheitsscanner verlassen sich auf vordefinierte Signaturen und Muster. SILENTCHAIN AI™ geht darüber hinaus mit:

• 🧠 KI-gestützte Analyse: Nutzt modernste Sprachmodelle (Burp AI, Ollama, OpenAI, Claude, Gemini, Azure) für intelligente Schwachstellenerkennung
• 🎯 Kontextbewusste Erkennung: Versteht Anwendungslogik und Geschäftskontext, nicht nur Musterabgleich
• ⚡ Echtzeit-Scanning: Analysiert den Datenverkehr, während er durch den Burp-Proxy fließt
• 📊 Professionelle Berichte: Erstellt detaillierte Befunde mit CWE- und OWASP-Zuordnungen sowie Sanierungsempfehlungen
• 🔄 Null Fehlalarme: KI-Validierung reduziert Rauschen und konzentriert sich auf echte Schwachstellen
• 🆓 Community Edition: Kostenlose passive Analysefunktionen

✨ Funktionen

Kernfunktionen

🔍 Passive KI-Analyse

• Echtzeit-Datenverkehrsanalyse über den Burp-Proxy
• Erkennung von OWASP-Top-10-Schwachstellen
• CWE-zugeordnete Sicherheitsbefunde
• Intelligente Konfidenzbewertung

🎨 Professionelle Benutzeroberfläche

• Modernes, intuitives Dashboard
• Live-Befundbereich mit farbcodierter Schweregradeinteilung
• Aufgabenverfolgung und -verwaltung
• Integrierte Konsolenprotokollierung

🤖 Multi-KI-Unterstützung

• Burp AI (Standard; prozessintern, null Konfiguration; Burp Suite Professional)
• Ollama (lokal, kostenlos, datenschutzorientiert)
• OpenAI (GPT-4 / GPT-4o)
• Claude (Anthropic)
• Gemini (Google)
• Azure OpenAI / Foundry

📋 Intelligente Berichterstellung

• Detaillierte Schwachstellenbeschreibungen
• Identifizierung betroffener Parameter
• CWE- und OWASP-Zuordnungen
• Sanierungsempfehlungen
• Direkte Links zu Sicherheitsressourcen

🛡️ Datenschutz (DataSanitizer)

• Standardmäßig aktiviert — schützt sensible Daten automatisch, bevor sie Ihren Rechner verlassen
• Bidirektionale Schwärzung: sensible Werte werden vor dem Senden an Cloud-KI-Anbieter durch [REDACTED_*]-Platzhalter ersetzt und in der Antwort wiederhergestellt
• Erkennt und schwärzt:
  • API-Schlüssel — OpenAI (sk-), GitHub (ghp_), AWS (AKIA), GitLab (glpat-), Slack (xoxb-)
  • Authorization-Header — Bearer-Tokens, Basic Auth
  • Anmeldedaten — Passwort-/Secret-/Token-Felder, user:pass@host-URIs
  • Sitzungscookies — Session-IDs, CSRF-Tokens, JWTs, Auth-Tokens
  • E-Mail-Adressen
  • IP-Adressen und Hostnamen — Details der Zielinfrastruktur
• Für Ollama vollständig übersprungen (nur lokal, keine Daten verlassen Ihren Rechner)
• Kann für fortgeschrittene Benutzer in den Einstellungen deaktiviert werden

Schwachstellenerkennung

SILENTCHAIN AI™ erkennt eine breite Palette von Sicherheitsproblemen, darunter:

🚀 Schnellstart

Voraussetzungen

• Burp Suite Professional 2025.2+ (empfohlen — erforderlich für den Standard-Anbieter Burp AI) oder Burp Suite Community (funktioniert mit externen Anbietern wie Ollama)
• Java-21-Laufzeitumgebung (in aktuellen Burp-Versionen enthalten)
• Ein KI-Anbieter (einer der folgenden):
  • Burp AI (Standard; null Konfiguration; erfordert Burp Suite Professional + ein aktives Burp-AI-Abonnement)
  • Ollama (kostenlos, lokal, datenschutzorientiert)
  • OpenAI-API-Schlüssel
  • Claude (Anthropic)-API-Schlüssel
  • Gemini (Google)-API-Schlüssel
  • Azure OpenAI / Foundry

Installation

1. Erweiterung herunterladen

   • Laden Sie die neueste silentchain-community-edition.jar von GitHub Releases herunter (dieser Link liefert immer den neuesten Build). Bestimmte Versionen (silentchain-community-edition-X.Y.Z.jar) finden Sie auf der Seite Releases.

2. In Burp Suite laden

   • Gehen Sie zu Extensions → Installed → Add
   • Setzen Sie den Erweiterungstyp auf: Java
   • Wählen Sie die heruntergeladene .jar-Datei und klicken Sie auf Next

3. KI-Anbieter konfigurieren

   • Öffnen Sie den Tab SILENTCHAIN Community → ⚙ Settings
   • Wählen Sie einen Anbieter — Burp AI funktioniert ohne Konfiguration. Für einen externen Anbieter setzen Sie API-URL / Schlüssel / Modell, klicken Sie auf Test Connection und dann auf Save.

4. Scan starten

   • Legen Sie Ihren Ziel-Scope in Burp fest (Target → Scope)
   • Aktivieren Sie die passive Analyse im Tab SILENTCHAIN Community (standardmäßig AUS) und browsen Sie dann das Ziel über den Burp-Proxy — oder klicken Sie mit der rechten Maustaste auf eine beliebige Anfrage → Analyze (SILENTCHAIN) für eine Analyse auf Abruf
   • Befunde erscheinen im Tab SILENTCHAIN Community und als native Burp-Scanner-Issues

Anforderungen

• Plattformunabhängig: Windows, macOS, Linux
• Burp Suite Community oder Professional (Professional + KI-Abonnement für den Burp-AI-Anbieter)
• Java 21 (in aktuellen Burp-Versionen enthalten)

🔧 Konfiguration

Einrichtung des KI-Anbieters

Option 1: Burp AI (Standard — null Konfiguration)

Erfordert Burp Suite Professional + ein aktives Burp-AI-Abonnement. Weder API-URL noch Schlüssel erforderlich — die Analyse läuft prozessintern über den Burp-AI-Dienst von PortSwigger und verbraucht Burp-AI-Credits von Ihrem Konto.

• Anbieter: Burp AI
• API-URL / Schlüssel / Modell: (nicht erforderlich)

Option 2: Ollama (empfohlen für lokale/private Nutzung)

Kostenlos, lokal, keine API-Schlüssel erforderlich

1. Ollama installieren:

   root@kitploit:~

   # macOS/Linux
   curl -fsSL https://ollama.ai/install.sh | sh
   
   # Windows
   # Download from https://ollama.ai/download
   

2. Ein Modell laden:

   root@kitploit:~

   ollama pull deepseek-r1
   # or
   ollama pull llama3
   

3. SILENTCHAIN konfigurieren:

   • Anbieter: Ollama
   • API-URL: http://localhost:11434
   • Modell: deepseek-r1:latest

Option 3: OpenAI

1. API-Schlüssel von platform.openai.com erhalten

2. SILENTCHAIN konfigurieren:

   • Anbieter: OpenAI
   • API-URL: https://api.openai.com/v1
   • API-Schlüssel: sk-...
   • Modell: gpt-4 oder gpt-3.5-turbo

Option 4: Claude (Anthropic)

1. API-Schlüssel von console.anthropic.com erhalten

2. SILENTCHAIN konfigurieren:

   • Anbieter: Claude
   • API-URL: https://api.anthropic.com/v1
   • API-Schlüssel: Ihr Anthropic-API-Schlüssel
   • Modell: claude-3-5-sonnet-20241022

Option 5: Google Gemini

1. API-Schlüssel von makersuite.google.com erhalten

2. SILENTCHAIN konfigurieren:

   • Anbieter: Gemini
   • API-URL: https://generativelanguage.googleapis.com/v1
   • API-Schlüssel: Ihr Google-API-Schlüssel
   • Modell: gemini-1.5-pro

Einstellungsreferenz

📖 Dokumentation

So funktioniert es

1. Datenverkehrsabfang: SILENTCHAIN überwacht HTTP-Anfragen/-Antworten über den Burp-Proxy
2. Scope-Filterung: Analysiert nur In-Scope-Ziele (im Target-Scope von Burp konfigurierbar)
3. KI-Analyse: Sendet Anfrage-/Antwortdaten zur Sicherheitsanalyse an die KI
4. Schwachstellenerkennung: Die KI identifiziert Sicherheitsprobleme basierend auf OWASP-Top-10-Mustern
5. Befunderstellung: Erstellt detaillierte Berichte mit Schweregrad, Konfidenz und Sanierung
6. Deduplizierung: Verhindert doppelte Befunde für dieselbe URL-/Parameterkombination

Konfidenzstufen von Befunden

UI-Komponenten

📊 Statistikbereich

• Gesamte Anfragen: Analysierte HTTP-Anfragen
• Analysiert: Erfolgreich verarbeitet
• Übersprungen (Duplikat): Redundante Analyse verhindert
• Erstellte Befunde: Insgesamt gefundene Schwachstellen
• Fehler: Fehlgeschlagene Analysen

📋 Aktive Aufgaben

• Zeigt aktuell verarbeitete Anfragen
• Statusverfolgung (Warteschlange, Analyse, Abgeschlossen)
• Zeitmessung der Dauer

🔍 Befundbereich

• Alle erkannten Schwachstellen
• Farbcodierung nach Schweregrad:
  • 🔴 Hoch - Kritische Schwachstellen
  • 🟠 Mittel - Wichtige Sicherheitsprobleme
  • 🟡 Niedrig - Geringfügige Schwachstellen
  • 🔵 Information - Sicherheitshinweise
• Konfidenzstufen
• Zeitstempel der Entdeckung

🖥️ Konsole

• Protokollierung in Echtzeit
• KI-Verbindungsstatus
• Analysefortschritt
• Fehlermeldungen

🎯 Anwendungsbeispiele

Grundlegender Arbeitsablauf

1. Ziel-Scope festlegen

   root@kitploit:~

   Burp → Target → Scope → Add
   Example: https://example.com/*
   

2. Anwendung durchsuchen

   • Konfigurieren Sie den Browser-Proxy auf Burp (127.0.0.1:8080)
   • Navigieren Sie durch die Zielanwendung
   • SILENTCHAIN analysiert im Hintergrund

3. Befunde überprüfen

   • Prüfen Sie den Bereich SILENTCHAIN → Findings
   • Oder Target → Issue Activity (in Burp integriert)

Kontextmenü-Analyse

Klicken Sie mit der rechten Maustaste auf eine beliebige Anfrage in:

• Proxy-Verlauf
• Site Map
• Repeater

Wählen Sie: SILENTCHAIN - Analyze Request

Dies erzwingt eine Analyse, selbst wenn die URL zuvor gescannt wurde.

Manuelle Verifizierung

1. Wählen Sie einen Befund im Befundbereich aus
2. Prüfen Sie die detaillierte Beschreibung
3. Überprüfen Sie die betroffenen Parameter
4. Folgen Sie den CWE/OWASP-Links für weitere Informationen
5. Testen Sie manuell mit Burp Repeater/Intruder

🆚 Community vs. Professional

⬆️ Upgrade auf Professional

SILENTCHAIN Professional fügt aktive Verifizierungsfunktionen hinzu:

• 🎯 Phase-2-Verifizierung: Validiert Befunde automatisch mit Exploit-Payloads
• 🛡️ WAF-Erkennung: Identifiziert Web Application Firewalls und passt sich ihnen an
• 📚 Kuratierte Payload-Bibliotheken: In der Praxis erprobte OWASP-Payloads
• 🌐 OOB-Tests: Erkennt blinde Schwachstellen (SSRF, XXE usw.)
• 🔄 Burp-Intruder-Integration: Konfiguriert Fuzzing-Angriffe automatisch
• ⚡ Intelligentes Fuzzing: KI-generierte Payloads für maximale Abdeckung

Sehen Sie es in Aktion — schauen Sie sich die vollständige SILENTCHAIN-Professional-Demo an, um KI-gestützte aktive Verifizierung, WAF-Umgehung und automatisiertes Fuzzing bei der Arbeit zu sehen.

Kontaktieren Sie uns für kommerzielle Lizenzen und Professional-Editionen: [email protected]

🛠️ Fehlerbehebung

Häufige Probleme

„KI-Verbindungstest fehlgeschlagen"

Lösung:

• Prüfen Sie, ob der KI-Anbieter läuft (Ollama: ollama list)
• Vergewissern Sie sich, dass die API-URL korrekt ist
• Bestätigen Sie für Cloud-Anbieter, dass der API-Schlüssel gültig ist
• Prüfen Sie die Netzwerkverbindung

„Keine Befunde erkannt"

Lösung:

• Vergewissern Sie sich, dass sich das Ziel im Scope befindet (Target → Scope)
• Stellen Sie sicher, dass der Datenverkehr über den Burp-Proxy fließt
• Prüfen Sie die Konsole auf Fehler
• Versuchen Sie eine manuelle Analyse (Rechtsklick → SILENTCHAIN - Analyze Request)

„Die Erweiterung kann nicht geladen werden"

Lösung:

• Bestätigen Sie, dass der Erweiterungstyp beim Laden der .jar-Datei auf Java gesetzt wurde
• Vergewissern Sie sich, dass Burp Suite aktuell ist (2025.2+ für den Burp-AI-Anbieter) mit einer Java-21-Laufzeitumgebung
• Prüfen Sie Extensions → Installed → (SILENTCHAIN Community) → Errors / Output
• Laden Sie die .jar-Datei erneut herunter, falls die Datei möglicherweise beschädigt ist

Hohe Speichernutzung

Lösung:

• Reduzieren Sie die Einstellung Max Tokens (Settings → AI Provider)
• Löschen Sie abgeschlossene Aufgaben regelmäßig
• Verwenden Sie leichtere KI-Modelle (z. B. llama3 statt deepseek-r1)

Debug-Modus

Aktivieren Sie die ausführliche Protokollierung:

1. Settings → Advanced
2. Aktivieren Sie Verbose Logging
3. Prüfen Sie die Konsole auf detaillierte Ausgaben

🤝 Mitwirken

Dieses Projekt akzeptiert keine externen Beiträge. Einzelheiten finden Sie in CONTRIBUTING.md.

Fehler melden

1. Prüfen Sie bestehende Issues
2. Erstellen Sie ein neues Issue mit:
   • Burp-Suite-Version
   • SILENTCHAIN-Version
   • KI-Anbieter/-Modell
   • Schritte zur Reproduktion
   • Fehlermeldungen (aus der Konsole)

Feature-Anfragen

Eröffnen Sie ein Issue mit dem Tag enhancement:

• Beschreiben Sie die Funktion
• Erläutern Sie den Anwendungsfall
• Geben Sie nach Möglichkeit Beispiele an

📄 Lizenz

SILENTCHAIN AI™ CE ist quelloffen einsehbare, aber proprietäre Software. Durch die Nutzung dieser Software stimmen Sie den Bedingungen in der Datei LICENSE zu.

PortSwigger BApp Store

PortSwigger Ltd. wird ausdrücklich die Erlaubnis erteilt, diese Software innerhalb von Burp Suite und des BApp Store kostenlos für Benutzer weiterzuverbreiten, zu hosten und zu bündeln. Jede andere Weiterverbreitung ist ohne schriftliche Genehmigung untersagt.

⚖️ Verantwortungsvolle Nutzung

Verwenden Sie diese Software nicht für unbefugten Zugriff oder Aktivitäten außerhalb von Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche Testgenehmigung haben.

Datenverarbeitung und Offenlegung gegenüber Drittanbieter-KI

Die vollständige Datenschutzerklärung finden Sie in PRIVACY.md, einschließlich der Tabelle zur Datenresidenz pro Anbieter und Ihrer Verantwortlichkeiten beim Scannen sensibler Ziele.

SILENTCHAIN analysiert HTTP-Anfragen und -Antworten, die von Burp Suite abgefangen werden. Abhängig vom gewählten KI-Anbieter können diese Daten an Cloud-Dienste von Drittanbietern übertragen werden.

Welche Anbieter sehen Ihre Daten

Wenn ein Cloud-KI-Anbieter ausgewählt ist, sendet SILENTCHAIN die HTTP-Anfragemethode, URL, Header, den Body und die Antwortdaten jeder In-Scope-Anfrage zur Analyse an die API des Anbieters. Der eingebaute DataSanitizer (standardmäßig aktiviert) schwärzt API-Schlüssel, Anmeldedaten, Sitzungstokens und andere sensible Muster vor der Übertragung, kann jedoch nicht garantieren, dass alle sensiblen Daten aus Anfrage-/Antwort-Bodys entfernt werden.

Beschränkung für regulierte Daten

Übermitteln Sie keine regulierten Daten an Cloud-KI-Anbieter. Dazu gehören:

• PHI (geschützte Gesundheitsinformationen) gemäß HIPAA
• PCI-DSS-Kartendaten (Kreditkartennummern, CVVs usw.)
• Personenbezogene EU-Daten gemäß DSGVO (Art. 13 verlangt die Offenlegung von Auftragsverarbeitern)
• Von CCPA erfasste personenbezogene Informationen (Cal. Civ. Code 1798.100 ff.)

Wenn Ihre Zielanwendung eine der oben genannten Datenkategorien verarbeitet, müssen Sie einen lokalen KI-Anbieter (Ollama) verwenden oder sicherstellen, dass Sie geeignete Datenverarbeitungsvereinbarungen mit dem Cloud-Anbieter haben und rechtlich zur Übertragung solcher Daten befugt sind.

Keine Telemetrie

SILENTCHAIN selbst erhebt, speichert oder überträgt keinerlei Nutzungsdaten, Telemetrie oder Analysen. Alle Datenflüsse erfolgen direkt zwischen Ihrer Burp-Suite-Instanz und Ihrem gewählten KI-Anbieter.

Best Practices

1. Verwenden Sie Ollama für sensible oder regulierte Umgebungen (100 % lokal, privat)
2. Aktivieren Sie den DataSanitizer (standardmäßig aktiviert), wenn Sie Cloud-Anbieter verwenden
3. Prüfen Sie die Datenspeicherungs- und Datenschutzrichtlinien Ihres KI-Anbieters, bevor Sie ihn verwenden
4. Testen Sie Produktionssysteme niemals ohne Autorisierung
5. Bereinigen Sie Befunde und Protokolle, bevor Sie sie extern teilen

💬 Support & Community

Hilfe erhalten

• 📚 Dokumentation: Dokumentation
• 🐛 Issues: GitHub Issues
• ✉️ E-Mail: [email protected]

Bleiben Sie auf dem Laufenden

• ⭐ Markieren Sie dieses Repository mit einem Stern
• 👁️ Beobachten Sie es für Updates
• 🐦 X (Twitter): @silentchainai

🙏 Danksagungen

Erstellt von:

• @xer0dayz bei @Sn1perSecurity LLC

Erstellt mit:

• Burp Suite von PortSwigger
• Ollama für lokale KI
• OpenAI für GPT-Modelle
• Anthropic für Claude
• Google für Gemini

Inspiriert vom Engagement der Sicherheitscommunity, das Web sicherer zu machen.

™️ Markenhinweis

„SILENTCHAIN AI™", „SILENTCHAIN™" und das SILENTCHAIN-AI-Logo sind Marken der SN1PERSECURITY LLC. Unbefugte Nutzung ist untersagt.

Rechtliche Hinweise

Siehe NOTICE für Markenzuordnungen von Drittanbietern.