SILENTCHAIN

Extensión de escáner de vulnerabilidades impulsada por IA para Burp Suite con soporte multi-proveedor (Ollama, OpenAI, Claude, Gemini)

Nota: Esta es la Edición Comunidad. Las Ediciones Comercial y Profesional con funciones avanzadas están disponibles por separado.

🌟 Descripción General

SILENTCHAIN AI™ - Edición Comunidad es una extensión de Burp Suite que aporta el poder de la inteligencia artificial a las pruebas de seguridad de aplicaciones web. Utilizando modelos de IA avanzados, SILENTCHAIN realiza un análisis pasivo inteligente del tráfico HTTP para identificar vulnerabilidades del OWASP Top 10, configuraciones de seguridad incorrectas y posibles vectores de ataque.

¿Por qué SILENTCHAIN?

Los escáneres de seguridad tradicionales se basan en firmas y patrones predefinidos. SILENTCHAIN AI™ va más allá con:

• 🧠 Análisis potenciado por IA: Aprovecha modelos de lenguaje de última generación (Burp AI, Ollama, OpenAI, Claude, Gemini, Azure) para la detección inteligente de vulnerabilidades
• 🎯 Detección consciente del contexto: Entiende la lógica de la aplicación y el contexto del negocio, no solo la coincidencia de patrones
• ⚡ Escaneo en tiempo real: Analiza el tráfico a medida que fluye a través del proxy de Burp
• 📊 Informes profesionales: Genera hallazgos detallados con mapeos CWE, OWASP y guía de remediación
• 🔄 Cero falsos positivos: La validación de IA reduce el ruido y se centra en vulnerabilidades reales
• 🆓 Edición Comunidad: Capacidades de análisis pasivo gratuitas

✨ Funcionalidades

Capacidades Principales

🔍 Análisis Pasivo con IA

• Análisis de tráfico en tiempo real a través del Proxy de Burp
• Detección de vulnerabilidades del OWASP Top 10
• Hallazgos de seguridad mapeados con CWE
• Puntuación de confianza inteligente

🎨 Interfaz de Usuario Profesional

• Panel de control moderno e intuitivo
• Panel de hallazgos en vivo con código de colores por severidad
• Seguimiento y gestión de tareas
• Registro de consola integrado

🤖 Soporte Multi-IA

• Burp AI (predeterminado; en proceso, configuración cero; Burp Suite Professional)
• Ollama (local, gratuito, centrado en la privacidad)
• OpenAI (GPT-4 / GPT-4o)
• Claude (Anthropic)
• Gemini (Google)
• Azure OpenAI / Foundry

📋 Informes Inteligentes

• Descripciones detalladas de vulnerabilidades
• Identificación de parámetros afectados
• Mapeos CWE y OWASP
• Recomendaciones de remediación
• Enlaces directos a recursos de seguridad

🛡️ Privacidad de Datos (DataSanitizer)

• Habilitado por defecto — protege automáticamente los datos sensibles antes de que salgan de su máquina
• Redacción bidireccional: los valores sensibles se reemplazan con marcadores [REDACTED_*] antes de enviarlos a los proveedores de IA en la nube, y luego se restauran en la respuesta
• Detecta y redacta:
  • Claves API — OpenAI (sk-), GitHub (ghp_), AWS (AKIA), GitLab (glpat-), Slack (xoxb-)
  • Cabeceras de autorización — Tokens Bearer, autenticación Basic
  • Credenciales — campos de contraseña/secreto/token, URIs user:pass@host
  • Cookies de sesión — IDs de sesión, tokens CSRF, JWTs, tokens de autenticación
  • Direcciones de correo electrónico
  • Direcciones IP y nombres de host — detalles de la infraestructura objetivo
• Se omite por completo para Ollama (solo local, ningún dato sale de su máquina)
• Se puede desactivar en Ajustes para usuarios avanzados

Detección de Vulnerabilidades

SILENTCHAIN AI™ detecta una amplia gama de problemas de seguridad, incluyendo:

🚀 Inicio Rápido

Requisitos Previos

• Burp Suite Professional 2025.2+ (recomendado — necesario para el proveedor Burp AI predeterminado) o Burp Suite Community (funciona con proveedores externos como Ollama)
• Entorno de ejecución Java 21 (incluido con las versiones actuales de Burp)
• Un proveedor de IA (uno de los siguientes):
  • Burp AI (predeterminado; configuración cero; requiere Burp Suite Professional + una suscripción activa de Burp AI)
  • Ollama (gratuito, local, centrado en la privacidad)
  • Clave API de OpenAI
  • Clave API de Claude (Anthropic)
  • Clave API de Gemini (Google)
  • Azure OpenAI / Foundry

Instalación

1. Descargue la extensión

   • Obtenga el último silentchain-community-edition.jar de GitHub Releases (este enlace siempre sirve la compilación más reciente). Las versiones específicas (silentchain-community-edition-X.Y.Z.jar) están en la página de Releases.

2. Cárguela en Burp Suite

   • Vaya a Extensions → Installed → Add
   • Configure el tipo de extensión: Java
   • Seleccione el .jar descargado y haga clic en Next

3. Configure su proveedor de IA

   • Abra la pestaña SILENTCHAIN Community → ⚙ Settings
   • Elija un proveedor — Burp AI funciona sin configuración. Para un proveedor externo, establezca la URL / clave / modelo de API, haga clic en Test Connection, luego Save.

4. Empiece a escanear

   • Establezca su alcance objetivo en Burp (Target → Scope)
   • Habilite el análisis pasivo en la pestaña SILENTCHAIN Community (está DESACTIVADO por defecto), luego navegue por el objetivo a través del proxy de Burp — o haga clic derecho en cualquier solicitud → Analyze (SILENTCHAIN) para análisis bajo demanda
   • Los hallazgos aparecen en la pestaña SILENTCHAIN Community y como problemas nativos del Escáner de Burp

Requisitos

• Multiplataforma: Windows, macOS, Linux
• Burp Suite Community o Professional (Professional + suscripción de IA para el proveedor Burp AI)
• Java 21 (incluido con las versiones actuales de Burp)

🔧 Configuración

Configuración del Proveedor de IA

Opción 1: Burp AI (Predeterminado — configuración cero)

Requiere Burp Suite Professional + una suscripción activa de Burp AI. No se necesita URL de API ni clave — el análisis se ejecuta en proceso a través del servicio Burp AI de PortSwigger y consume Créditos Burp AI de su cuenta.

• Proveedor: Burp AI
• URL / Clave / Modelo de API: (no requerido)

Opción 2: Ollama (Recomendado para uso local/privado)

Gratuito, local, no requiere claves API

1. Instale Ollama:

   root@kitploit:~

   # macOS/Linux
   curl -fsSL https://ollama.ai/install.sh | sh
   
   # Windows
   # Descargue desde https://ollama.ai/download
   

2. Descargue un modelo:

   root@kitploit:~

   ollama pull deepseek-r1
   # o
   ollama pull llama3
   

3. Configure SILENTCHAIN:

   • Proveedor: Ollama
   • URL de API: http://localhost:11434
   • Modelo: deepseek-r1:latest

Opción 3: OpenAI

1. Obtenga una clave API de platform.openai.com

2. Configure SILENTCHAIN:

   • Proveedor: OpenAI
   • URL de API: https://api.openai.com/v1
   • Clave API: sk-...
   • Modelo: gpt-4 o gpt-3.5-turbo

Opción 4: Claude (Anthropic)

1. Obtenga una clave API de console.anthropic.com

2. Configure SILENTCHAIN:

   • Proveedor: Claude
   • URL de API: https://api.anthropic.com/v1
   • Clave API: Su clave API de Anthropic
   • Modelo: claude-3-5-sonnet-20241022

Opción 5: Google Gemini

1. Obtenga una clave API de makersuite.google.com

2. Configure SILENTCHAIN:

   • Proveedor: Gemini
   • URL de API: https://generativelanguage.googleapis.com/v1
   • Clave API: Su clave API de Google
   • Modelo: gemini-1.5-pro

Referencia de Ajustes

📖 Documentación

Cómo Funciona

1. Intercepción de Tráfico: SILENTCHAIN monitorea las solicitudes/respuestas HTTP a través del Proxy de Burp
2. Filtrado por Alcance: Solo analiza objetivos dentro del alcance (configure en Target Scope de Burp)
3. Análisis con IA: Envía datos de solicitud/respuesta a la IA para análisis de seguridad
4. Detección de Vulnerabilidades: La IA identifica problemas de seguridad basados en patrones del OWASP Top 10
5. Generación de Hallazgos: Crea informes detallados con severidad, confianza y remediación
6. Desduplicación: Previene hallazgos duplicados para la misma combinación URL/parámetro

Niveles de Confianza de Hallazgos

Componentes de la Interfaz

📊 Panel de Estadísticas

• Total Requests: Solicitudes HTTP analizadas
• Analyzed: Procesadas exitosamente
• Skipped (Duplicate): Análisis redundante evitado
• Findings Created: Total de vulnerabilidades encontradas
• Errors: Fallos de análisis

📋 Tareas Activas

• Muestra las solicitudes que se están procesando actualmente
• Seguimiento de estado (En cola, Analizando, Completado)
• Temporización de duración

🔍 Panel de Hallazgos

• Todas las vulnerabilidades detectadas
• Código de colores basado en severidad:
  • 🔴 Alta - Vulnerabilidades críticas
  • 🟠 Media - Problemas de seguridad importantes
  • 🟡 Baja - Vulnerabilidades menores
  • 🔵 Información - Notas de seguridad
• Niveles de confianza
• Marcas de tiempo de descubrimiento

🖥️ Consola

• Registro en tiempo real
• Estado de conexión con IA
• Progreso del análisis
• Mensajes de error

🎯 Ejemplos de Uso

Flujo de Trabajo Básico

1. Establecer Alcance Objetivo

   root@kitploit:~

   Burp → Target → Scope → Add
   Ejemplo: https://example.com/*
   

2. Navegar por la Aplicación

   • Configure el proxy del navegador hacia Burp (127.0.0.1:8080)
   • Navegue a través de la aplicación objetivo
   • SILENTCHAIN analiza en segundo plano

3. Revisar Hallazgos

   • Consulte el panel SILENTCHAIN → Findings
   • O Target → Issue Activity (integrado con Burp)

Análisis desde Menú Contextual

Haga clic derecho en cualquier solicitud en:

• Proxy History
• Site Map
• Repeater

Seleccione: SILENTCHAIN - Analyze Request

Esto fuerza el análisis incluso si la URL fue escaneada previamente.

Verificación Manual

1. Seleccione un hallazgo en el panel Findings
2. Revise la descripción detallada
3. Verifique los parámetros afectados
4. Siga los enlaces CWE/OWASP para más información
5. Pruebe manualmente usando Burp Repeater/Intruder

🆚 Comunidad vs Profesional

⬆️ Actualizar a Profesional

SILENTCHAIN Professional añade capacidades de verificación activa:

• 🎯 Verificación Fase 2: Valida automáticamente los hallazgos con payloads de explotación
• 🛡️ Detección de WAF: Identifica y se adapta a los firewalls de aplicaciones web
• 📚 Bibliotecas de Payloads Seleccionados: Payloads OWASP probados en batalla
• 🌐 Pruebas OOB: Detecta vulnerabilidades ciegas (SSRF, XXE, etc.)
• 🔄 Integración con Burp Intruder: Configura automáticamente ataques de fuzzing
• ⚡ Fuzzing Inteligente: Payloads generados por IA para máxima cobertura

Véalo en acción — vea la demostración completa de SILENTCHAIN Professional para ver la verificación activa potenciada por IA, evasión de WAF y fuzzing automatizado en funcionamiento.

Contáctenos para licencias comerciales y ediciones profesionales: [email protected]

🛠️ Solución de Problemas

Problemas Comunes

"La prueba de conexión con IA falló"

Solución:

• Verifique que el proveedor de IA esté funcionando (Ollama: ollama list)
• Confirme que la URL de API sea correcta
• Para proveedores en la nube, confirme que la clave API sea válida
• Verifique la conectividad de red

"No se detectaron hallazgos"

Solución:

• Verifique que el objetivo esté en el alcance (Target → Scope)
• Asegúrese de que el tráfico fluya a través del Proxy de Burp
• Revise la Consola para ver errores
• Intente el análisis manual (clic derecho → SILENTCHAIN - Analyze Request)

"La extensión no se carga"

Solución:

• Confirme que el tipo de extensión se configuró como Java al cargar el .jar
• Verifique que Burp Suite esté actualizada (2025.2+ para el proveedor Burp AI) con un entorno de ejecución Java 21
• Revise Extensions → Installed → (SILENTCHAIN Community) → Errors / Output
• Vuelva a descargar el .jar si el archivo podría estar corrupto

Alto Uso de Memoria

Solución:

• Reduzca el ajuste Max Tokens (Settings → AI Provider)
• Limpie las tareas completadas regularmente
• Utilice modelos de IA más ligeros (por ejemplo, llama3 en lugar de deepseek-r1)

Modo Depuración

Habilite el registro detallado:

1. Settings → Advanced
2. Marque Verbose Logging
3. Revise la Consola para ver la salida detallada

🤝 Contribuciones

Este proyecto no acepta contribuciones externas. Consulte CONTRIBUTING.md para más detalles.

Reportar Errores

1. Verifique los problemas existentes
2. Cree un nuevo problema con:
   • Versión de Burp Suite
   • Versión de SILENTCHAIN
   • Proveedor/modelo de IA
   • Pasos para reproducir
   • Mensajes de error (de la Consola)

Solicitudes de Funcionalidades

Abra un problema con la etiqueta enhancement:

• Describa la funcionalidad
• Explique el caso de uso
• Proporcione ejemplos si es posible

📄 Licencia

SILENTCHAIN AI™ CE es software de código visible pero propietario. Al usar este software, acepta los términos del archivo LICENSE.

PortSwigger BApp Store

PortSwigger Ltd. tiene permiso explícito para redistribuir, alojar y empaquetar este software dentro de Burp Suite y la BApp Store sin cargo para los usuarios. Cualquier otra redistribución está prohibida sin permiso por escrito.

⚖️ Uso Responsable

No use este software para accesos no autorizados o actividades fuera de sistemas que posea o para los que tenga permiso explícito para realizar pruebas.

Manejo de Datos y Divulgación de IA de Terceros

Consulte PRIVACY.md para el aviso de privacidad completo, incluyendo la tabla de residencia de datos por proveedor y sus responsabilidades al escanear objetivos sensibles.

SILENTCHAIN analiza las solicitudes y respuestas HTTP interceptadas por Burp Suite. Dependiendo del proveedor de IA que seleccione, estos datos pueden ser transmitidos a servicios en la nube de terceros.

Qué proveedores ven sus datos

Cuando se selecciona un proveedor de IA en la nube, SILENTCHAIN envía el método, URL, cabeceras, cuerpo de la solicitud HTTP y datos de respuesta de cada solicitud dentro del alcance a la API del proveedor para su análisis. El DataSanitizer integrado (habilitado por defecto) redacta claves API, credenciales, tokens de sesión y otros patrones sensibles antes de la transmisión, pero no puede garantizar la eliminación de todos los datos sensibles de los cuerpos de solicitudes/respuestas.

Restricción de datos regulados

No envíe datos regulados a proveedores de IA en la nube. Esto incluye:

• PHI (Información de Salud Protegida) bajo HIPAA
• Datos de titulares de tarjetas PCI DSS (números de tarjeta de crédito, CVV, etc.)
• Datos personales de la UE sujetos al RGPD (Art. 13 requiere divulgación de subprocesadores)
• Información personal cubierta por CCPA (Cal. Civ. Code 1798.100 et seq.)

Si su aplicación objetivo procesa alguna de las categorías de datos anteriores, debe usar un proveedor de IA local (Ollama) o asegurarse de tener los acuerdos de procesamiento de datos adecuados con el proveedor en la nube y la autorización legal para transmitir dichos datos.

Sin telemetría

SILENTCHAIN no recopila, almacena ni transmite ningún dato de uso, telemetría o análisis. Todos los flujos de datos son directamente entre su instancia de Burp Suite y el proveedor de IA seleccionado.

Mejores prácticas

1. Use Ollama para entornos sensibles o regulados (100% local, privado)
2. Habilite DataSanitizer (activado por defecto) al usar proveedores en la nube
3. Revise las políticas de retención de datos y privacidad de su proveedor de IA antes de usarlo
4. Nunca pruebe sistemas de producción sin autorización
5. Sanitice los hallazgos y registros antes de compartirlos externamente

💬 Soporte y Comunidad

Obtener Ayuda

• 📚 Documentación: Documentación
• 🐛 Problemas: GitHub Issues
• ✉️ Correo electrónico: [email protected]

Manténgase Actualizado

• ⭐ Marque con estrella este repositorio
• 👁️ Observe para recibir actualizaciones
• 🐦 X (Twitter): @silentchainai

🙏 Agradecimientos

Construido por:

• @xer0dayz en @Sn1perSecurity LLC

Construido con:

• Burp Suite de PortSwigger
• Ollama para IA local
• OpenAI para modelos GPT
• Anthropic para Claude
• Google para Gemini

Inspirado por la dedicación de la comunidad de seguridad para hacer la web más segura.

™️ Aviso de Marca Registrada

"SILENTCHAIN AI™", "SILENTCHAIN™" y el logotipo de SILENTCHAIN AI son marcas registradas de SN1PERSECURITY LLC. El uso no autorizado está prohibido.

Avisos Legales

Consulte NOTICE para atribuciones de marcas registradas de terceros.