BurpSuite 拡張機能 - Asset Discover

パッシブスキャンを使用してHTTPレスポンスからアセットを発見するBurp Suite拡張機能です。詳細はブログ Asset Discovery using Burp Suite をご参照ください。

この拡張機能はBAppストアの一部となり、Burp Suiteから直接インストールできます。https://portswigger.net/bappstore/d927f0065171485981d6eb49a860fc3e

攻撃対象領域管理プラットフォームの詳細については、NVADRをご確認ください。

説明

スコープ内のURLのHTTPレスポンスをパッシブに解析し、ドメイン、サブドメイン、IP、S3バケットなどのさまざまなタイプのアセットを識別し、情報的な問題としてリストアップします。

セットアップ

• Burp Suiteの'Extender'下の'Options'タブでjython.jarファイルを指定してPython環境をセットアップします。
• 拡張機能をダウンロードします。
• 'Extender'下の'Extensions'タブで'Add'を選択します。
• 拡張機能のタイプを'Python'に変更します。
• ファイル'Asset_Discover.py'のパスを指定し、'Next'をクリックします。

使用方法

• 'Target'タブ下の'Scope'にURLを追加します。拡張機能はパッシブスキャンを通じてアセットの識別を開始します。

必要条件

• Jython 2.7.0
• Burp Suite Pro v2.1

コードクレジット

ベースコードの大部分は以下のソースから取得されています：

• OpenSecurityResearch CustomPassiveScanner
• PortSwigger example-scanner-checks

ライセンス

このプロジェクトはMITライセンスの下で利用可能です。LICENSEファイルを参照してください。