reburp

Un'estensione di Burp Suite che espone l'intera API Montoya come API REST locale, con Swagger UI

Issues | Discussions

Cos'è reburp

reburp trasforma Burp Suite in qualcosa che puoi scriptare. Si carica come estensione Java e serve la Montoya API tramite un'API REST HTTP su http://127.0.0.1:9090, con una specifica OpenAPI e Swagger UI. Qualsiasi cosa faresti cliccando in Burp - leggere la cronologia del proxy, inviare una richiesta, modificare lo scope, avviare una scansione, decodificare un token - diventa una chiamata JSON che un agente o una riga curl può effettuare.

Si abbina alla skill per agenti burp-interaction così un assistente AI può pilotare Burp direttamente.

• Cosa sblocca reburp
• Installazione
• Caricamento in Burp Suite
• Documentazione API
• Endpoint
• Avvio rapido
• Sicurezza
• Copertura API
• Note
• Contribuire

Cosa sblocca reburp

Funzionalità di Burp che il tuo agente può ora pilotare via REST:

• Scanner - avvia un audit attivo o un crawl, ferma un task in esecuzione, estrai il report
• Intruder e request engine - fuzzing, più un motore ad alto throughput in stile Turbo Intruder (accoda, pausa, riprendi, annulla)
• Site map del target - itera e cerca nell'intero albero del target, non solo nella cronologia del proxy
• WebSocket - apri una connessione e invia frame di testo/binari, non solo leggi la cronologia
• Strumenti di engagement - genera un PoC CSRF, scopri contenuti, trova riferimenti, invia al decoder
• Test di controllo degli accessi - riproduci una richiesta con e senza il suo token e confronta le risposte, in stile Autorize (BOLA/BFLA)
• BChecks e Bambda - importa regole di scansione personalizzate, costruisci catene di filtri, solleva issue personalizzate

Installazione

Scarica l'ultimo reburp-*.jar dalle Release, oppure compilalo dai sorgenti (richiede Java 17+).

Compatibilità

Ogni release di reburp è compilata rispetto a una versione minima di Burp Suite (Montoya). Su un Burp più vecchio, scarica il jar corrispondente dalle Release.

Compilazione dai sorgenti

Carica reburp.jar invece della copia con versione. Burp ricarica un'estensione dal percorso da cui è stata caricata, e il nome con versione cambia a ogni release, quindi quello senza versione continua a ricaricarsi dopo un aggiornamento invece di lasciarti silenziosamente sulla build precedente.

Se il tuo JAVA_HOME non è impostato, puntalo al tuo JDK:

Caricamento in Burp Suite

1. Apri Burp Suite → Extensions → Installed → Add
2. Extension type: Java
3. Extension file: build/libs/reburp.jar (o il reburp-*.jar che hai scaricato dalle Release)
4. Clicca Next - l'estensione si avvia automaticamente sulla porta 9090

Una scheda reburp appare in Burp mostrando ogni chiamata REST mentre avviene.

Ogni riga è una chiamata REST. Selezionandola vengono mostrate la richiesta e la risposta API, più la richiesta e la risposta che reburp ha inviato al target per tuo conto.

Documentazione API

Una volta caricata, apri nel browser:

• Swagger UI: http://127.0.0.1:9090/docs
• Specifica OpenAPI: http://127.0.0.1:9090/openapi.json

La specifica è la fonte di verità per le forme di richieste e risposte.

Endpoint

Avvio rapido

Sicurezza

Il server REST si lega solo a 127.0.0.1, ma la porta è non autenticata e risponde a qualsiasi origine. Qualsiasi cosa che possa raggiungere localhost:9090 può pilotare Burp, inclusa una pagina web aperta nel tuo browser. Tratta la porta come affidabile solo in locale e non esporla mai oltre il loopback.

Per questo motivo, l'esecuzione di comandi OS è disattivata per impostazione predefinita. /api/utils/shell/execute e /api/utils/shell/execute-raw restituiscono 403 a meno che l'estensione non veda questo nell'ambiente del processo di Burp stesso:

Con questa impostata, qualsiasi origine che possa raggiungere la porta ottiene l'esecuzione di codice remoto sull'host. Abilitala solo quando accetti questo. Ogni invocazione viene scritta nella scheda output dell'estensione. GET /api/utils/shell/status riporta se è attiva e non richiede mai che lo sia.

Copertura API

L'affermazione "intera Montoya API" è verificata meccanicamente da tools/api_coverage.py, che il workflow di build della CI esegue a ogni push e fallisce se un metodo mappabile rimane non esposto. Il comportamento è esercitato separatamente da tools/smoke_test.py contro un'estensione caricata.

Note

• La porta è hardcoded a 9090. Cambia port in BurpRestApiExtension.kt e ricompila se necessario.
• Gli endpoint solo Pro (scanner, collaborator) restituiscono HTTP 403 sull'edizione Community con un messaggio esplicativo.
• La Montoya API è compileOnly - non è inclusa; Burp la fornisce a runtime.
• Tutte le risposte sono JSON. Gli errori restituiscono { "error": "..." }.
• La specifica OpenAPI è assemblata da OpenApiSpec.kt più frammenti in docs/. Per aggiungere un gruppo di route, scrivi un frammento *Paths() e *Schemas() e inseriscilo in docs/OpenApiSpecExtra.kt.

Contribuire

Issue e pull request sono benvenute. Esegui python3 tools/api_coverage.py e ./gradlew shadowJar prima di aprire una PR. I nuovi gruppi di route dovrebbero essere forniti con il loro frammento OpenAPI così che la documentazione rimanga completa.