CC-Bridge

Un'estensione di Burp Suite (API Montoya) che espone i primitive più utili di Burp tramite un'API HTTP su localhost, così che una shell di coding agente (Claude Code, OpenAI Codex, ecc.) possa guidare Burp da curl.

Funziona su Burp Community.

Download

Prendi l'ultimo JAR della release — nessun clone o build richiesta:

→ cc-bridge-0.1.0.jar (381 KB · sha256 10e21b82a602e43df62ffa2758ef3f51a24af8e1a04affa82ef12d02bde9192c)

Tutte le release: https://github.com/larrypeseckis/burp-cc-bridge/releases

Per i risultati di validazione su 7 laboratori PortSwigger Web Security Academy che coprono 6 classi di vulnerabilità (250 chiamate cc-burp, 6 risolti, 1 confine architetturale documentato, 0 fallback GUI), vedi VALIDATION.md.

Build dal sorgente

mvn clean package
# -> target/cc-bridge-0.1.0.jar  (shaded fat JAR)

Installazione

1. Apri Burp → Extensions → Installed → Add.
2. Scegli Java, punta a target/cc-bridge-0.1.0.jar, clicca Next.
3. La scheda Output dovrebbe stampare:
   root@kitploit:~

   CC-Bridge listening on http://127.0.0.1:1337
   Auth token written to ~/.cc-bridge-token (mode 600)
   

4. Da una shell:
   root@kitploit:~

   curl -sH "Authorization: Bearer $(cat ~/.cc-bridge-token)" http://127.0.0.1:1337/health
   

Override di host/porta di bind tramite argomenti JVM (Extension settings → JVM properties): -Dccbridge.host=127.0.0.1 -Dccbridge.port=1337

API

Tutti gli endpoint richiedono Authorization: Bearer <token>.

Wrapper shell

./cc-burp health
./cc-burp send -d '{"method":"GET","url":"https://example.com/"}'
./cc-burp history 'host=example.com&limit=10'
./cc-burp 'history/42'
./cc-burp 'repeat/42' -d '{"headers":{"X-Spoof":"1"}}'
./cc-burp 'collaborator/new' -X POST

Note

• Le richieste in uscita passano attraverso il client HTTP di Burp, quindi compaiono nella cronologia Proxy e rispettano scope, proxy a monte e regole di gestione delle sessioni.
• Il token viene rigenerato solo se ~/.cc-bridge-token manca o è vuoto. Eliminalo per ruotarlo.
• Il bind è 127.0.0.1 di default — non esporlo mai in rete.