TProxer

Un'estensione di Burp Suite creata per automatizzare il processo di individuazione di SSRF basato su percorso di proxy inverso.

Come • Installa • Da fare • Unisciti a Discord

Come funziona

• Tenta di ottenere accesso a API interne o file tramite un attacco SSRF basato sul percorso. Ad esempio https://www.example.com/api/v1/users proviamo il payload /..;/..;/..;/..;/ sperando in un 400 Bad Request:
• Poi l'algoritmo cerca di trovare la potenziale root API interna con: https://www.example.com/api/v1/users/..;/..;/..;/ sperando in un 404 Not Found
• Poi, proviamo a scoprire contenuti; se viene trovato qualcosa, esegue un test aggiuntivo per verificare se è al 100% interno e vale la pena investigare.
• Supporta l'attivazione manuale tramite menu contestuale.
• I payload sono forniti dall'utente in una scheda dedicata, i valori predefiniti sono memorizzati in query payloads.txt
• Puoi anche selezionare la tua wordlist
• I problemi vengono aggiunti nella scheda Issue Activity.

Installa

$ git clone https://github.com/ethicalhackingplayground/TProxer

• Scarica Jython da:

https://www.jython.org/download.html

Assicurati di usare Jython 2.7.2

• Carica Burp, Extender -> Opzioni
• Vai a Python Environment -> Seleziona file -> Seleziona jython.jar
• Vai a Estensioni -> Aggiungi -> TProx.py

Da fare

• Migliorare il design
• Aggiungere più personalizzazione.

Licenza

TProxer è distribuito sotto Licenza MIT