Burp Collector

Burp Collector는 웹/모바일 애플리케이션 테스트에서 Pentester와 Bug Hunter를 지원하기 위해 특별히 설계된 멀티 프로세싱 도구입니다. 강력한 기능을 통해 Burp Suite 파일에서 정보를 수집하고 추출하는 과정을 간소화하여 API 엔드포인트를 효과적으로 관리할 수 있습니다.

Burp Collector는 API 엔드포인트를 효율적으로 정리하고 Excel 시트로 원활하게 내보내 프로젝트의 구조적이고 접근하기 쉬운 개요를 제공합니다. 엔드포인트 관리를 간소화하여 귀중한 시간을 절약하고 중요한 테스트 작업에 집중할 수 있도록 합니다.

개발자: Sagiv

기능

1. 테스트 중 상호작용한 모든 API 엔드포인트(SOAP, REST, GraphQL)를 수집하여 Excel 파일로 추출 - 매우 권장.
2. 모든 API 엔드포인트를 본문 및 파라미터와 함께 Postman 컬렉션으로 수집 및 추출 - 매우 권장.
3. 대상에 맞춤화된 단어 목록 생성(요청/응답/쿠키/헤더 기반 등) - 권장!
4. Postman 컬렉션을 Excel 파일로 변환 - 권장!
5. 수집된 맵 파일을 원본 Javascript 소스 코드로 변환 - 권장!
6. 맵 파일을 원본 Javascript 소스 코드로 변환하고 의존성이 npmjs.com에 존재하는지 확인 - 권장!
7. 파라미터가 포함된 URI를 수집하여 FUZZ 키워드가 포함된 파일로 덤프 - 권장!
8. 테스트 중 파일에서 발견된 가능한 API를 수집하여 Excel 파일로 추출 - 많은 쓰레기를 생성할 수 있지만, 올바르게 사용하면 유용할 수 있습니다.
9. 테스트 중 만난 모든 URL을 수집하여 Excel 파일로 추출 - 프로젝트 크기에 따라 느릴 수 있습니다.
10. 노출 가능한 모든 비밀(AWS/Google/Firebase 등) 수집 및 추출 - 대부분의 경우 출력은 False-Positive입니다.
11. 테스트 중 만난 모든 JSON 파일을 수집하여 Excel 파일로 추출 - 빠름.
12. 테스트 중 만난 모든 서브도메인을 수집하여 Excel 파일로 추출 - 빠름.
13. 테스트 중 만난 모든 JS/MAP URL을 수집하여 Excel 파일로 추출 - 빠름.

설치:

  pip install -r requirements.txt
  python -m spacy download en_core_web_sm

주의

옵션 - 1: Burp Suite에서: Target Scope의 도메인에서 마우스 오른쪽 버튼 클릭 - "save selected items" 선택 - "Base64-encode" 선택 (일부 요청은 대상 트리 범위에서 누락될 수 있음 - Burp Suite 문제...).

옵션 - 2: Burp Suite에서: Proxy - HTTP History로 이동 - CTRL + A 누르기 - 마우스 오른쪽 버튼 클릭 - "save selected items" 선택 - "Base64-encode" 체크된 상태로 두기.

사용법:

옵션: -h, --help

  이 도움말 메시지를 표시하고 종료

-f, --file

  Burp 파일 (Target Scope의 도메인에서 마우스 오른쪽 버튼 클릭 후 save selected items 선택, Base64 encode 선택)

-dr, --directory

  모든 Burp Suite 출력 파일이 포함된 디렉토리 (Target Scope의 도메인에서 마우스 오른쪽 버튼 클릭 후 save selected items 선택, Base64 encode 선택)
  

-a, --all

  모든 방법 사용 (Bitrix Task용 API 엔드포인트 생성, API, URL, Postman 및 비밀 수집)
  

-b, --bitrix

  테스트 중 상호작용한 모든 API 엔드포인트(SOAP, REST, GraphQL)를 수집하여 Excel 파일로 추출 - 매우 권장.
  

-p, --postman

  모든 API 엔드포인트를 본문 및 파라미터와 함께 Postman 컬렉션으로 수집 및 추출 - 매우 권장.

-w, --wordlist

  대상에 맞춤화된 단어 목록 생성(요청/응답/쿠키/헤더 기반 등) - 권장!

-m, --map

  수집된 맵 파일을 원본 Javascript 소스 코드로 변환.
  

-D, --dependency

  맵 파일을 원본 Javascript 소스 코드로 변환하고 의존성이 npmjs.com에 존재하는지 확인.
  

-P, --paramspider

  파라미터가 포함된 URL을 수집하여 FUZZ 키워드가 포함된 파일로 덤프.
  

-J, --js

  테스트 중 만난 모든 JS/MAP URL을 수집하여 Excel 파일로 추출 - 빠름.
  

-d, --domain

  테스트 중 만난 모든 서브도메인을 수집하여 Excel 파일로 추출 - 빠름.
  

-i, --api

  테스트 중 파일에서 발견된 가능한 API를 수집하여 Excel 파일로 추출 - 많은 쓰레기를 생성할 수 있지만, 올바르게 사용하면 유용할 수 있습니다.
  

-j, --json

  테스트 중 만난 모든 JSON 파일을 수집하여 Excel 파일로 추출 - 빠름.   
  

-s, --secrets

  노출 가능한 모든 비밀(AWS/Google/Firebase 등) 수집 및 추출 - 대부분의 경우 출력은 False-Positive입니다.
  

-pe, --postoexcel

  Postman 컬렉션을 Excel 파일로 변환 - 권장! 
  

-u, --urls

  테스트 중 만난 모든 URL을 수집하여 Excel 파일로 추출 - 프로젝트 크기에 따라 느릴 수 있습니다.
  

-t, --threads

  병렬로 실행할 프로세스 수 (기본값은 CPU 코어 수).
  

-v, --verbose

  설정하면 출력이 화면에 색상으로 표시됩니다.
  

--version

  도구의 현재 버전을 출력합니다.     
  

--update

  새 업데이트를 확인합니다. 새 업데이트가 있으면 자동으로 다운로드 및 업데이트됩니다.