Text4Shell-Scanner für Burp Suite

Eine ausführliche Beschreibung finden Sie in unserem Blogbeitrag über dieses Plugin.

Hinweis zu den Erkennungsmöglichkeiten: Dieses Plugin versorgt den integrierten aktiven Scanner lediglich mit Payloads. Für eine optimale Abdeckung im Verhältnis zur Leistung müssen Sie Ihren Scan daher richtig konfigurieren – genau wie bei jedem anderen integrierten oder durch Erweiterungen bereitgestellten Scan.

Einzelproblem-Scan

Wenn Sie nur nach CVE-2022-42889 suchen möchten (und nicht nach anderen Dingen wie XSS oder SQLi), ermöglicht Ihnen dieses Plugin genau das.

Wenn Sie die folgenden Anweisungen befolgen, führt der Scanner nur Text4Shell-Prüfungen an allen Einfügepunkten durch, sofern die dabei erstellte Scan-Konfiguration verwendet wird.

1. Klicken Sie beim Erstellen eines neuen Scans auf Select from library auf dem Tab Scan configuration
2. Wählen Sie Audit checks - extensions only, das in Burp Suite Pro 2.x integriert ist
3. Deaktivieren Sie alle anderen Erweiterungen (falls zutreffend), die einen aktiven Scan-Check registriert haben (z. B. ActiveScan++, Backslash powered scanning, Burp Bounty usw.), sodass nur der Text4Shell-Scanner läuft

Erstellen

Führen Sie ./gradlew build aus, und Sie haben das Plugin fertig in build/libs/burp-text4shell.jar

Lizenz

Das gesamte Projekt ist unter der GNU General Public License v3.0 verfügbar, siehe LICENSE.md.