Burp Collector

Burp Collectorは、ペンテスターやバグハンターがWeb/モバイルアプリケーションテストを支援するために特別に設計されたマルチプロセッシングツールです。その強力な機能により、Burp Suiteファイルからの情報収集と抽出プロセスを効率化し、APIエンドポイントを効果的に管理できるようにします。

Burp CollectorはAPIエンドポイントを効率的に整理し、Excelシートにシームレスにエクスポートすることで、プロジェクトの構造化された簡単にアクセス可能な概要を提供します。エンドポイント管理を簡素化することで、貴重な時間を節約し、重要なテストタスクに集中できるようにします。

開発者: Sagiv

特徴

1. テスト中に操作したすべてのAPIエンドポイント（SOAP、REST、GraphQL）を収集し、Excelファイルに抽出します - 強く推奨。
2. すべてのAPIエンドポイントをボディとパラメータ付きで収集し、Postmanコレクションに抽出します - 強く推奨。
3. ターゲットに合わせたワードリストを作成します（リクエスト/レスポンス/クッキー/ヘッダーなどに基づく） - 推奨！
4. PostmanコレクションをExcelファイルに変換します - 推奨！
5. 収集したマップファイルを元のJavaScriptソースコードに変換します - 推奨！
6. マップファイルを元のJavaScriptソースコードに変換し、依存関係がnpmjs.comに存在するか確認します - 推奨！
7. パラメータ付きのURIを収集し、FUZZキーワードを付けてファイルにダンプします - 推奨！
8. テスト中にファイルで見つかった可能性のあるAPIを収集し、Excelファイルに抽出します - 多くのジャンクを生成する可能性がありますが、正しく使用すれば役立つかもしれません。
9. テスト中に遭遇したすべてのURLを収集し、Excelファイルに抽出します - プロジェクトサイズによっては遅くなる可能性があります。
10. 開示される可能性のあるすべての秘密（AWS/Google/Firebaseなど）を収集し抽出します - ほとんどの場合、出力は偽陽性になります。
11. テスト中に遭遇したすべてのJSONファイルを収集し、Excelファイルに抽出します - 高速。
12. テスト中に遭遇したすべてのサブドメインを収集し、Excelファイルに抽出します - 高速。
13. テスト中に遭遇したすべてのJS/MAP URLを収集し、Excelファイルに抽出します - 高速。

インストール:

  pip install -r requirements.txt
  python -m spacy download en_core_web_sm

注意

OPTION - 1: Burp Suiteで：ターゲットスコープ内のドメインを右クリック - 「選択したアイテムを保存」を選択し、次に「Base64エンコード」を選択します（ターゲットツリースコープから一部のリクエストが欠落する場合があります - Burp Suiteの問題です...）。

OPTION - 2: Burp Suiteで：プロキシ - HTTP履歴に移動 - CTRL + Aを押す - 右クリック - 「選択したアイテムを保存」を選択 - 「Base64エンコード」のチェックをそのままにします。

使い方:

Options: -h, --help

  このヘルプメッセージを表示して終了

-f, --file

  Burpファイル（ターゲットスコープ内のドメインを右クリックし、「選択したアイテムを保存」を選択し、「Base64エンコード」を選択）

-dr, --directory

  すべてのBurp Suite出力ファイルを含むディレクトリ（ターゲットスコープ内のドメインを右クリックし、「選択したアイテムを保存」を選択し、「Base64エンコード」を選択）
  

-a, --all

  すべてのメソッドを使用（BitrixタスクのAPIエンドポイント生成、API、URL、Postman、シークレットの収集）
  

-b, --bitrix

  テスト中に操作したすべてのAPIエンドポイント（SOAP、REST、GraphQL）を収集し、Excelファイルに抽出します - 強く推奨。
  

-p, --postman

  すべてのAPIエンドポイントをボディとパラメータ付きで収集し、Postmanコレクションに抽出します - 強く推奨。

-w, --wordlist

  ターゲットに合わせたワードリストを作成します（リクエスト/レスポンス/クッキー/ヘッダーなどに基づく） - 推奨！

-m, --map

  収集したマップファイルを元のJavaScriptソースコードに変換します。
  

-D, --dependency

  マップファイルを元のJavaScriptソースコードに変換し、依存関係がnpmjs.comに存在するか確認します。
  

-P, --paramspider

  パラメータ付きURLを収集し、FUZZキーワードを付けてファイルにダンプします。
  

-J, --js

  テスト中に遭遇したすべてのJS/MAP URLを収集し、Excelファイルに抽出します - 高速。
  

-d, --domain

  テスト中に遭遇したすべてのサブドメインを収集し、Excelファイルに抽出します - 高速。
  

-i, --api

  テスト中にファイルで見つかった可能性のあるAPIを収集し、Excelファイルに抽出します - 多くのジャンクを生成する可能性がありますが、正しく使用すれば役立つかもしれません。
  

-j, --json

  テスト中に遭遇したすべてのJSONファイルを収集し、Excelファイルに抽出します - 高速。   
  

-s, --secrets

  開示される可能性のあるすべての秘密（AWS/Google/Firebaseなど）を収集し抽出します - ほとんどの場合、出力は偽陽性になります。
  

-pe, --postoexcel

  PostmanコレクションをExcelファイルに変換します - 推奨！ 
  

-u, --urls

  テスト中に遭遇したすべてのURLを収集し、Excelファイルに抽出します - プロジェクトサイズによっては遅くなる可能性があります。
  

-t, --threads

  並列実行するプロセス数（デフォルトはCPUコア数）。
  

-v, --verbose

  設定すると、出力がカラーで画面に表示されます 
  

--version

  ツールの現在のバージョンを表示します。     
  

--update

  新しいアップデートを確認します。新しいアップデートがあれば、自動的にダウンロードされ更新されます。