reburp

Une extension Burp Suite qui expose l'intégralité de l'API Montoya sous forme d'API REST locale, avec Swagger UI

Issues | Discussions

Qu'est-ce que reburp

reburp transforme Burp Suite en un outil scriptable. Il se charge comme une extension Java et expose l'API Montoya via une API HTTP REST sur http://127.0.0.1:9090, avec une spécification OpenAPI et une interface Swagger UI. Tout ce que vous cliqueriez dans Burp - lire l'historique du proxy, envoyer une requête, modifier le scope, lancer un scan, décoder un token - devient un appel JSON qu'un agent ou une ligne curl peut effectuer.

Il s'associe à la compétence d'agent burp-interaction pour qu'un assistant IA puisse piloter Burp directement.

• Ce que reburp débloque
• Installation
• Chargement dans Burp Suite
• Documentation de l'API
• Points de terminaison
• Démarrage rapide
• Sécurité
• Couverture de l'API
• Notes
• Contribution

Ce que reburp débloque

Fonctionnalités de Burp que votre agent peut désormais piloter via REST :

• Scanner - lancer un audit actif ou un crawl, arrêter une tâche en cours, récupérer le rapport
• Intruder & moteur de requêtes - fuzzing, plus un moteur à haut débit de type Turbo Intruder (file d'attente, pause, reprise, annulation)
• Site map de la cible - parcourir et rechercher l'arborescence complète de la cible, pas seulement l'historique du proxy
• WebSockets - ouvrir une connexion et envoyer des trames texte/binaires, pas seulement lire l'historique
• Outils d'engagement - générer un PoC CSRF, découvrir du contenu, trouver des références, envoyer au décodeur
• Tests de contrôle d'accès - rejouer une requête avec et sans son token et comparer les réponses, à la manière d'Autorize (BOLA/BFLA)
• BChecks & Bambda - importer des règles de scan personnalisées, construire des chaînes de filtres, remonter des problèmes personnalisés

Installation

Récupérez le dernier reburp-*.jar depuis les Releases, ou compilez-le depuis les sources (nécessite Java 17+).

Compatibilité

Chaque version de reburp est compilée contre une version minimale de Burp Suite (Montoya). Sur un Burp plus ancien, récupérez le jar correspondant depuis les Releases.

Compilation depuis les sources

Chargez reburp.jar plutôt que la copie versionnée. Burp recharge une extension depuis le chemin à partir duquel elle a été chargée, et le nom versionné change à chaque release, donc la version non versionnée continue de se recharger après une mise à jour au lieu de vous laisser silencieusement sur la build précédente.

Si votre JAVA_HOME n'est pas défini, pointez-le vers votre JDK :

Chargement dans Burp Suite

1. Ouvrez Burp Suite → Extensions → Installed → Add
2. Type d'extension : Java
3. Fichier d'extension : build/libs/reburp.jar (ou le reburp-*.jar téléchargé depuis les Releases)
4. Cliquez sur Next - l'extension démarre automatiquement sur le port 9090

Un onglet reburp apparaît dans Burp, affichant chaque appel REST au fur et à mesure.

Chaque ligne correspond à un appel REST. La sélectionner affiche la requête et la réponse de l'API, ainsi que la requête et la réponse que reburp a envoyées à la cible en votre nom.

Documentation de l'API

Une fois chargé, ouvrez dans votre navigateur :

• Swagger UI : http://127.0.0.1:9090/docs
• Spécification OpenAPI : http://127.0.0.1:9090/openapi.json

La spécification fait foi pour les formats de requête et de réponse.

Points de terminaison

Démarrage rapide

Sécurité

Le serveur REST se lie uniquement à 127.0.0.1, mais le port est non authentifié et répond à n'importe quelle origine. Tout ce qui peut atteindre localhost:9090 peut piloter Burp, y compris une page web ouverte dans votre navigateur. Considérez ce port comme strictement local de confiance et ne l'exposez jamais au-delà du loopback.

Pour cette raison, l'exécution de commandes OS est désactivée par défaut. /api/utils/shell/execute et /api/utils/shell/execute-raw renvoient 403 sauf si l'extension voit ceci dans l'environnement de son propre processus Burp :

Une fois défini, toute origine pouvant atteindre le port obtient une exécution de code à distance sur l'hôte. Activez-le uniquement si vous l'acceptez. Chaque invocation est écrite dans l'onglet de sortie de l'extension. GET /api/utils/shell/status indique s'il est activé et ne nécessite jamais qu'il le soit.

Couverture de l'API

L'affirmation de « l'API Montoya complète » est vérifiée mécaniquement par tools/api_coverage.py, que le workflow de build de la CI exécute à chaque push et qui échoue si une méthode mappable reste non exposée. Le comportement est testé séparément par tools/smoke_test.py contre une extension chargée.

Notes

• Le port est codé en dur sur 9090. Modifiez port dans BurpRestApiExtension.kt et recompilez si nécessaire.
• Les points de terminaison Pro uniquement (scanner, collaborator) renvoient HTTP 403 sur l'édition Community avec un message explicatif.
• L'API Montoya est en compileOnly - elle n'est pas embarquée ; Burp la fournit à l'exécution.
• Toutes les réponses sont en JSON. Les erreurs renvoient { "error": "..." }.
• La spécification OpenAPI est assemblée à partir de OpenApiSpec.kt plus des fragments dans docs/. Pour ajouter un groupe de routes, écrivez un fragment *Paths() et *Schemas() et listez-le dans docs/OpenApiSpecExtra.kt.

Contribution

Les issues et pull requests sont les bienvenues. Veuillez exécuter python3 tools/api_coverage.py et ./gradlew shadowJar avant d'ouvrir une PR. Les nouveaux groupes de routes doivent être livrés avec leur fragment OpenAPI pour que la documentation reste complète.