AMFDSer-ngng

#AMFDSer-ngng

Burp Extenderプラグインです。Xtreamライブラリを使用して、逆シリアル化されたAMFオブジェクトをXMLにエンコードします。Khai Tran氏のオリジナル作品に基づいています。敬意を表して https://blog.netspi.com/

AMFDSer-ngngはまた、カスタムAMF逆シリアル化のためにKenneth Hill氏のJmeterソースコードの一部を利用しています (https://github.com/steeltomato/jmeter-amf)。そしてXtreamライブラリ (http://xstream.codehaus.org/)

なぜ？このリリースでは、シリアル化が正しく実行されていなかったバグを修正しました。また、AMFと併用してスキャナを使用する（適切な）機能も追加されています。さらに、SQLMapと併用する機能も追加しました。「send deserialized to intruder」の出力をファイルにコピー＆ペーストし、sqlmap.py -r --proxy "http://burp:port" を実行します。

基本的に、逆シリアル化、変更、再シリアル化、送信を行い、（スキャナの場合のみ）AMFオブジェクトのように見える応答を逆シリアル化します（Burpが例外文字列などをフラグ付けできるようにするため）。

注記: XMLエンティティがフラグされたスキャン結果は誤検知です。Burpが入力するXMLはローカルで実行されるため、これはリモートサーバーの問題を示すものではありません。

##使い方

###1) java -classpath burp.jar;AMFDSer-ngng.jar;xstream-1.4.2.jar burp.StartBurp

では！