TProxer

リバースプロキシパスベースのSSRFを見つけるプロセスを自動化するBurp Suite拡張機能です。

仕組み • インストール • ToDo • Discordに参加

仕組み

• パスベースのSSRF攻撃を通じて内部APIやファイルへのアクセスを試みます。 例えば https://www.example.com/api/v1/users に対して、ペイロード /..;/..;/..;/..;/ を試し、400 Bad Request を期待します。
• 次にアルゴリズムは、潜在的な内部APIルートを見つけるために以下を試みます： https://www.example.com/api/v1/users/..;/..;/..;/ で 404 Not Found を期待します。
• 次にコンテンツを発見しようとし、何か見つかった場合は、それが100%内部であり調査に値するかどうかを確認するために追加テストを実行します。
• コンテキストメニューからの手動アクティベーションをサポート。
• ペイロードは専用タブでユーザーが指定し、デフォルト値は query payloads.txt に保存されます。
• 独自のワードリストを選択することもできます。
• 問題はIssue Activityタブに追加されます。

インストール

$ git clone https://github.com/ethicalhackingplayground/TProxer

• Jythonを以下からダウンロード：

https://www.jython.org/download.html

Jython 2.7.2を使用していることを確認してください

• Burpをロードし、Extender -> Options を開く
• Python Environment に移動 -> ファイルを選択 -> jython.jar を選択
• Extensions に移動 -> Add -> TProx.py を選択

ToDo

• より良いデザインにする
• カスタマイズ機能を追加する

ライセンス

TProxerは MITライセンス の下で配布されています。