TProxer

Une extension Burp Suite conçue pour automatiser la recherche de SSRF basée sur le chemin du proxy inverse.

Fonctionnement • Installation • À faire • Rejoindre Discord

Fonctionnement

• Tente d'accéder aux API ou fichiers internes via une attaque SSRF basée sur le chemin. Par exemple, sur https://www.example.com/api/v1/users, nous testons la payload /..;/..;/..;/..;/ en espérant une 400 Bad Request :
• Ensuite, l'algorithme tente de trouver la racine potentielle de l'API interne avec : https://www.example.com/api/v1/users/..;/..;/..;/ en espérant un 404 Not Found
• Puis, nous essayons de découvrir du contenu ; si quelque chose est trouvé, des tests supplémentaires sont effectués pour vérifier s'il est 100 % interne et mérite une investigation.
• Prend en charge l'activation manuelle via le menu contextuel.
• Les payloads sont fournies par l'utilisateur dans un onglet dédié ; les valeurs par défaut sont stockées dans query payloads.txt
• Vous pouvez également sélectionner votre propre wordlist.
• Les issues sont ajoutées sous l'onglet Issue Activity.

Installation

$ git clone https://github.com/ethicalhackingplayground/TProxer

• Téléchargez Jython depuis :

https://www.jython.org/download.html

Assurez-vous d'utiliser Jython 2.7.2

• Chargez Burp, Extender -> Options
• Allez dans Python Environment -> Select file -> Sélectionnez jython.jar
• Allez dans Extensions -> Add -> TProx.py

À faire

• Améliorer le design
• Ajouter plus de personnalisation.

Licence

TProxer est distribué sous licence MIT