Web3 Decoder

Web3 Decoder は、web3 のスマートコントラクトに関わる操作で何が起こっているかを分析するための Burp Suite 拡張機能です。 これは主に Ethereum ノードへの JSON-RPC 呼び出しと、 Polygon、Arbitrum、BSC などの互換ネットワークのノードへの呼び出しです。

ダウンロードとインストール

最新の拡張機能 JAR をダウンロードしてください — このリンクは常に最新のリリースを提供します:

⬇ web3-decoder.jar (latest)

古いバージョンは リリースページ にあります。

次に、Burp Suite で読み込みます:

1. 拡張機能 → インストール済み → 追加 に移動します。
2. 拡張機能タイプ を Java に設定し、ダウンロードした web3-decoder.jar を選択します。
3. 次へ をクリックします — 読み込みが完了すると、Web3 タブと Web3 Request/Web3 Response エディタ タブが表示されます。

JRE 21 を同梱した Burp リリース（現在の Burp Suite バージョン）が必要です。この JAR は自己完結型です — すべての依存関係（web3j など）が含まれています。

ソースからのビルド

./gradlew jar

拡張機能 JAR は常に一定のパス — web3-decoder/build/libs/web3-decoder.jar — に出力されます。 バージョンに関係なく、一度 Burp で指定すれば、再ビルド時に自動リロードさせることができます。 リリース手順は docs/RELEASING.md に記載されています。

スクリーンショット

これは、JSON-RPC リクエストとレスポンスのデコードに成功した後の、改良された Web3 エディタタブの外観です:

再設計された Web3 タブの下には、すべての設定、検出された ABI などが表示されます! (Claude Design に感謝!)

ドキュメント

詳細なドキュメントは docs/ フォルダにあります:

• Architecture — レイヤー、コンポーネント、主要なデコード/エンコードフロー（図解付き）。
• Project Structure — ディレクトリ構成とパッケージ単位の責務。
• Tech Stack — 依存関係、ビルド/パッケージング、ランタイム、CLI モード。
• Features — 実装上の指針付きの全機能カタログ。

ブロックエクスプローラの API キー

サポートされているほとんどのブロックエクスプローラ（etherscan.io など）は、5 秒間に 1 回を超えるリクエストを許可するために API キーを必要とします。

新しいインターフェースでは、チェーン、ブロックエクスプローラ、API キーを管理できます。

コントラクトの ABI を手動で追加する

この拡張機能は、etherscan などのブロックエクスプローラからダウンロードした ABI をキャッシュします。また、Web3 タブから直接、ブロックエクスプローラから自動取得して追加したり、手動で追加したりすることもできます。

実装済み機能

• Burp 統合
  • JSON-RPC リクエスト用の Web3 Request エディタタブ（eth_call / eth_sendRawTransaction を含まないトラフィックでは非表示）。
  • 対応する JSON-RPC レスポンス用の Web3 Response エディタタブ。
  • チェーン/ABI/calldata ツールを備えた専用の Web3 スイートタブ。
  • デコードされた関数シグネチャをメモに注釈として付与したプロキシヒストリ行（別スレッドでデコードされ、ライブのヒストリ行に保持されます）。
• デコード済みエディタの操作性
  • 両方のエディタタブは、デフォルトで構造化ツリービューを備え、JSON ビューはワンタッチで切り替えられます — 再エンコードの基準は常に JSON です。
  • JSON ビューには、構文 + セマンティックハイライト、行番号、括弧の対応、リアルタイムの妥当性チェック、検索バーがあります。
• JSON-RPC リクエストのデコード
  • eth_call の calldata を function + 型付き args にデコードします。
  • 単一リクエストとバッチ JSON-RPC ペイロードをサポートします。
  • バッチペイロードの場合、各項目はステータス（decoded、skipped、error）と、スキップ/失敗時の理由とともに報告されます。
• JSON-RPC レスポンスのデコード
  • 以前にデコードされた eth_call リクエストの をデコードします。

現在サポートされているチェーン

バンドルされているチェーンの完全な最新リストは web3-decoder/src/main/resources/chains.json にあります — この拡張機能は現在、Etherscan v2 マルチチェーンセット（Ethereum、Sepolia、BNB Smart Chain、Polygon、Base、Arbitrum、Linea、Blast、Optimism、Avalanche、Gnosis、Scroll、 Taiko、Berachain など、そのテストネットも含む）を同梱しています。また、このインターフェースでは 実行時に独自のチェーンを追加することもできます — ブロックエクスプローラが Etherscan スタイルの API を公開しているチェーンであれば、どれでも動作します。チェーン管理の詳細（非推奨チェーン ID の移行を含む）は Features を参照してください。

仕組み

使用中のノードに eth_chainId JSON-RPC リクエストを送信して、作業中のチェーンを検出し、チェーンに応じて chains.json ファイルを検索してブロックエクスプローラ API を選択します。

関数呼び出しをデコードするには、コントラクトの ABI（アプリケーションバイナリインターフェース）が必要です。これには、 コントラクトで呼び出せるすべての関数と、その入力と出力が含まれます。拡張機能は、次の順序で ABI を解決します:

1. キャッシュ済み ABI — チェーン + コントラクトアドレス用（Burp のプロジェクトスコープ永続化）。
2. 組み込み ABI — よく知られたコントラクト用（例: Multicall3）。
3. ブロックエクスプローラ ルックアップ（Etherscan スタイル API）— 検証済みコントラクト用。
4. 検出 ABI プール — パッシブスキャナが dapp フロントエンドバンドルから取得した ABI を、 4 バイト関数セレクタでインデックス化したもの。チェーン非依存。
5. 4byte フォールバック — api.4byte.sourcify.dev に対するセレクタ → シグネチャ検索。一致した候補から 合成 ABI を構築します。

チェーン ID を判定できない場合（例: エンドポイントが eth_chainId に応答しない場合）、チェーンに依存する 手順（1〜3）はスキップされ、デコーダはチェーン非依存の手順（4 と 5）を引き続き試行します。

外部サービスとデータソース

トラフィックをデコードするために、拡張機能はいくつかの外部ソースと通信します。これらはオプションであり、Web3 タブから無効化できます。すべての送信 リクエストは Burp 自身の HTTP スタック（api.http().sendRequest）経由で送信されるため、 Burp のアップストリームプロキシ/TLS 設定が尊重され、Burp のトラフィックに表示されます。

プライバシーに関する注意: ABI ルックアップは、設定されたブロック エクスプローラにコントラクトアドレスを送信し、4byte フォールバックは関数セレクタを api.4byte.sourcify.dev に送信します。ダウンロードした ABI はローカルにキャッシュされるため、繰り返しのデコードでも 再クエリは発生しません。ほとんどのエクスプローラ（例: etherscan.io）では、約 1 リクエスト / 5 秒を超える場合に API キーが必要です — Web3 タブからキーを管理してください。

パッシブ ABI 検出器は、Burp がすでにキャプチャした HTTP レスポンスボディを読み取り、 完全にローカルで実行されます — 検出自体によってトラフィックが生成されることはありません。