🦊 BurpFox

워크플로우에 Dalfox XSS 스캐너를 직접 통합하는 Burp Suite 확장 프로그램입니다.

Features

• 🎯 우클릭 스캔 - 프록시 기록 또는 Repeater에서 직접 요청을 스캔합니다.
• ⚙️ 모든 Dalfox 옵션 - 컨텍스트 인식, WAF 우회, Blind XSS 등

Prerequisites

1. Dalfox 설치

BurpFox를 사용하기 전에 시스템에 Dalfox를 설치해야 합니다.

macOS (Homebrew):

brew install dalfox

Linux (Go):

go install github.com/hahwul/dalfox/v2@latest

설치 확인:

dalfox version

참고: dalfox가 PATH에 있는지 확인하세요. BurpFox는 ~/go/bin/dalfox 및 /usr/local/bin/dalfox와 같은 일반적인 위치도 확인합니다.

Installation

옵션 A: 릴리스 다운로드 (권장)

1. Releases에서 최신 burpfox-x.x.jar를 다운로드합니다.
2. Burp Suite를 엽니다.
3. Extensions → Installed → Add로 이동합니다.
4. Extension type: Java를 선택합니다.
5. Select file을 클릭하고 다운로드한 JAR 파일을 선택합니다.
6. Next를 클릭하여 확장 프로그램을 로드합니다.

옵션 B: 소스에서 빌드

요구 사항:

• Java 17+
• Maven 3.6+

# 저장소 클론
git clone https://github.com/halilkirazkaya/burpfox.git
cd burpfox

# 빌드
mvn clean package

# JAR 파일은 target/burpfox-0.1.jar에 생성됩니다.

그런 다음 옵션 A의 2-6단계에 따라 JAR을 설치합니다.

Usage

빠른 스캔

1. Burp Suite에서 요청을 캡처합니다 (Proxy, Repeater 등).
2. 요청을 우클릭합니다.
3. BurpFox Scan을 선택합니다.
4. 스캔 옵션을 구성하고 파라미터를 선택합니다.
5. Start Scan을 클릭합니다.

Scan Options

스캔 모드

• Reflected XSS (url) - 일반 XSS 스캔
• Stored XSS (sxss) - 페이로드가 실행될 트리거 URL이 필요합니다.

대량 스캔

프록시 기록 또는 사이트 맵에서 여러 요청을 선택한 후 우클릭하여:

• Scan All Selected - 각 요청에 대한 구성 대화상자를 엽니다.
• Scan Individual - 하위 메뉴에서 특정 요청을 선택합니다.

Configuration

사용자 정의 Dalfox 경로

Dalfox가 PATH에 없는 경우 시스템 속성을 설정합니다:

# Burp Suite JVM 옵션에 추가
-Ddalfox.path=/custom/path/to/dalfox

Burp를 통한 프록시

고급 설정에서 Proxy 옵션을 활성화하여 Dalfox 트래픽을 Burp를 통해 라우팅합니다 (기본값: http://127.0.0.1:8080).

Screenshots

1. BurpFox로 보내기

2. 스캔 구성

3. 스캔 결과

Troubleshooting

"Dalfox를 찾을 수 없음"

1. Dalfox가 설치되었는지 확인: dalfox version
2. PATH에 있는지 확인: which dalfox

스캔이 중단되거나 시간 초과됨

• 고급 옵션에서 Scan Timeout을 증가시킵니다 (기본값: 30분)
• 더 빠른 결과를 위해 Fast Scan을 활성화해 보세요.
• 대상에 연결 가능한지 확인합니다.

취약점이 발견되지 않음

• 스캔을 위해 파라미터가 선택되었는지 확인합니다.
• 더 많은 인젝션 지점을 찾기 위해 Skip Discovery를 비활성화해 보세요.
• 포괄적인 스캔을 위해 Mining Dict 및 Mining DOM을 활성화합니다.

기여

기여를 환영합니다! 자유롭게 Pull Request를 제출해 주세요.

라이선스

이 프로젝트는 MIT 라이선스에 따라 라이선스가 부여됩니다 - 자세한 내용은 LICENSE 파일을 참조하세요.

크레딧

• Dalfox by @hahwul - 강력한 XSS 스캐너
• Burp Suite by PortSwigger - 웹 보안 테스트 플랫폼

작성자

Halil Kirazkaya - @halilkirazkaya

보안 커뮤니티를 위해 ❤️로 만들어졌습니다.