vmware-archive/burp-rest-apiAPI REST/JSON per lo strumento di sicurezza Burp Suite.
⚠️ AVVISO: Questo progetto non è più mantenuto attivamente.
Sebbene il repository rimanga disponibile come riferimento, non verranno forniti ulteriori aggiornamenti, correzioni di bug o supporto.
Un'API REST/JSON per lo strumento di sicurezza Burp Suite.
Fin dal primo commit nel 2016, burp-rest-api è stato lo strumento predefinito per l'automazione delle scansioni web basate su BurpSuite. Molti professionisti della sicurezza e organizzazioni hanno fatto affidamento su questa estensione per orchestrare il lavoro di Burp Spider e Scanner.
burp-rest-api-2.3.2.jar) dalla pagina delle releaseburpsuite_pro.jar proveniente da un'installazione locale di Burp SuiteSu Linux, Mac:
java --add-opens=java.desktop/javax.swing=ALL-UNNAMED --add-opens=java.base/java.lang=ALL-UNNAMED -cp "burpsuite_pro.jar:burp-rest-api-2.3.2.jar" org.springframework.boot.loader.launch.JarLauncher
Su Windows:
java --add-opens=java.desktop/javax.swing=ALL-UNNAMED --add-opens=java.base/java.lang=ALL-UNNAMED -cp "burpsuite_pro.jar;burp-rest-api-2.3.2.jar" org.springframework.boot.loader.launch.JarLauncher
Importante!!!
burp-rest-api supporta sia la legacy Burp Suite Professional v1.7 sia la più recente Burp Suite Professional v2025.x. Poiché questo progetto si basa sulla Burp Extender API, il comportamento di alcune funzionalità potrebbe essere leggermente diverso a seconda della versione di Burp. Ad esempio, la configurazione dello scanner di Burp Suite nella v2025.x non è più personalizzabile.
Per impostazione predefinita, Burp viene avviato in modalità headless con il Proxy in esecuzione sulla porta 8080/tcp (solo localhost) e l'endpoint REST sulla porta 8090/tcp (solo localhost).
Per eseguire Burp in modalità UI dalla riga di comando, aggiungi il seguente argomento:
--headless.mode=false
Per modificare la porta del server sulla quale l'API è accessibile, aggiungi il seguente argomento:
--server.port=8081
oppure
--port=8081
Puoi anche modificare l'indirizzo del server, utilizzato per il binding dell'indirizzo di rete:
--server.address=192.168.1.2
oppure
--address=192.168.1.2
I seguenti argomenti della riga di comando sono utilizzati solo dall'estensione per configurare la modalità di esecuzione e il numero di porta.
--burp.jar=<filename.jar> : Carica dinamicamente il JAR di Burp e lo espone tramite le API REST. Questo flag funziona solo con Java <= 1.8! Usa lo script burp-rest-api.{sh,bat} per versioni più recenti di Java.
--burp.ext=<filename.{jar,rb,py} : Carica le estensioni Burp indicate all'avvio dell'applicazione. Questo flag può essere ripetuto.
--server.port=<port_number> : L'endpoint REST API è disponibile sulla porta indicata. --port=<port_number> funziona come argomento abbreviato.
--server.address=<network address> : Indirizzo di rete a cui deve essere associato l'endpoint REST API. --address=<address_ip> funziona come argomento abbreviato.
--apikey=<customApiKey> : Abilita l'autenticazione tramite API key per proteggere le API in /burp/*. Se customApiKey viene passata come argomento, deve essere inclusa in ogni richiesta HTTP come header aggiuntivo: "API-KEY: <customApiKey>".
--headless.mode=<true/false> : Se impostato su false, esegue Burp Suite in modalità UI. Altrimenti esegue Burp Suite in modalità headless. Valore predefinito: proprietà di sistema (java.awt.headless)
Gli argomenti della riga di comando passati al JAR eseguibile di burp-rest-api vengono inoltrati al JAR di Burp Suite. Pertanto, si possono passare i seguenti argomenti della riga di comando del JAR di Burp Suite al JAR di burp-rest-api per ottenere la stessa funzionalità che si avrebbe passandoli direttamente al JAR di Burp Suite.
--project-file=<filename> : Apre il Data Project File specificato, utilizzato per mantenere lo stato dello strumento. Il file verrà creato come nuovo progetto se non esiste già.
--config-file=<filename> : Apre il progetto utilizzando le opzioni contenute nel Project Configuration File selezionato. Per caricare più configurazioni di progetto, questo argomento può essere passato più volte con valori diversi.
--user-config-file=<filename> : Apre il progetto utilizzando le opzioni contenute nel User Configuration File selezionato. Per caricare più configurazioni utente, questo argomento può essere passato più volte con valori diversi.
Per maggiori informazioni sui Progetti, fare riferimento alla documentazione di Burp Suite qui e qui. Per le impostazioni dello scanner, fare riferimento alla sezione "Supporto e Limitazioni di Burp Suite".
Se il JAR di burp-rest-api viene avviato senza gli argomenti --project-file, --config-file o --user-config-file, Burp Suite viene avviato con un file di progetto temporaneo e una configurazione predefinita. Il file di progetto temporaneo viene creato all'avvio di Burp Suite e viene eliminato al termine dell'esecuzione.
Per la configurazione predefinita utilizzata per avviare Burp Suite, fare riferimento ai file burp-default-project-options.json e burp-default-user-options.json all'interno del JAR, nella cartella static.
Swagger viene utilizzato per definire la documentazione API. Una volta avviato il JAR, accedi alle seguenti risorse per la documentazione API e la Swagger UI. La porta 8090 è la porta predefinita del server.
Documentazione API: http://localhost:8090/v3/api-docs
Swagger UI: http://localhost:8090/swagger-ui/index.html#
Questo progetto include anche un client (BurpClient.java) scritto in Java per l'uso in altri progetti. Fare riferimento al file di test di integrazione BurpClientIT.java per l'utilizzo di BurpClient.java.
Questo progetto è originariamente ispirato a Resty-Burp, ed è sviluppato in collaborazione con Doyensec LLC. 
Il team del progetto burp-rest-api accoglie con piacere i contributi della community. Se desideri contribuire con codice e non hai firmato il nostro accordo di licenza per i contributori (CLA), il nostro bot aggiornerà la issue quando apri una Pull Request. Per qualsiasi domanda sul processo di CLA, fare riferimento alla nostra FAQ sul CLA. Per informazioni più dettagliate, fare riferimento a CONTRIBUTING.md e FAQ.md.