LazyCSRF

LazyCSRFは、Burp Suite上で動作する、より便利なCSRF PoCジェネレーターです。

メンテナンス終了 🙇

lazyCSRFの開発を始めたとき、Burp Professionalに組み込まれているCSRF PoCジェネレーターはXHRを使用したPoCを生成できず、PUTリクエストなどにも対応していないと誤解していました。今でもBurp組み込みのCSRF PoCジェネレーターには不満がありますが、現在のニーズには十分だと思います。他に魅力的なテーマがあるため、今メンテナンスを終了します。時間ができたらまたメンテナンスを行います。

動機

Burp SuiteはインターセプトHTTPプロキシであり、Webアプリケーションのセキュリティテストを行うためのデファクトツールです。私がBurp Suiteで最も気に入っている機能は Generate CSRF PoC です。しかし、リクエストの内容を自動的に判断する機能は壊れており、JSONをパラメータとして使用する場合やPUTリクエストなど、form で表現できないPoCでも form を使用してPoCを生成しようとします。さらに、Burp Suite自体で表示できるマルチバイト文字が、生成されたCSRF PoCで文字化けすることがよくあります。これらがLazyCSRFを作成した動機です。

特徴

XMLHttpRequestを使用したPoCへの自動切り替え
- パラメータがJSONの場合
- リクエストがPUT/PATCH/DELETEの場合
マルチバイト文字（日本語など）の表示をサポート
Burp Suite Community EditionでのCSRF PoC生成（もちろんProfessional Editionでも動作します）

マルチバイト文字表示の違い

次の画像は、BurpのCSRF PoCジェネレーターとLazyCSRFでのマルチバイト文字の表示の違いを示しています。 LazyCSRFはマルチバイト文字を文字化けさせずにCSRFのPoCを生成できます。これは、Burp Suite上で文字が文字化けしていない場合に限ります。

display-japanese

インストール

JARを GitHub Releases からダウンロードします。 Burp Suiteで、ExtenderタブのExtensionsタブに移動し、新しい拡張機能を追加します。拡張機能のタイプ Java を選択し、JARの場所を指定します。

使い方

Burp Suite上で右クリックして開くメニューから、Extensions -> LazyCSRF -> Generate CSRF PoC By LazyCSRF を選択することで、CSRF PoCを生成できます。

ビルド方法

intellij

IntelliJ IDEAを使用している場合、Build -> Build Artifacts -> LazyCSRF:jar -> Build の順に従ってビルドできます。

コマンドライン

Mavenでビルドできます。

$ mvn install

ライセンス

MITライセンス

lazyCSRF

人気