[!IMPORTANT] Anunciamos o lançamento do BurpGPT Pro, a edição especialmente desenvolvida para atender às necessidades de profissionais e boutiques de cibersegurança. Descubra uma série de funcionalidades poderosas e uma interface amigável que aprimora suas capacidades e garante uma experiência de usuário ideal. Para acessar esses benefícios, visite nosso site e leia a documentação para mais informações.

[!WARNING] Observe que a edição Comunitária não é mais mantida nem funcional. Para continuar recebendo atualizações, novos recursos, correções de bugs e melhorias, considere atualizar para a edição Pro. Não é mais útil registrar Issues para a edição Comunitária.

burpgpt

O burpgpt aproveita o poder da IA para detectar vulnerabilidades de segurança que os scanners tradicionais podem deixar passar. Ele envia o tráfego da web para um modelo da OpenAI especificado pelo usuário, permitindo uma análise sofisticada dentro do scanner passivo. Esta extensão oferece prompts personalizáveis que possibilitam uma análise de tráfego web adaptada às necessidades específicas de cada usuário. Confira a seção Exemplos de Casos de Uso para se inspirar.

A extensão gera um relatório de segurança automatizado que resume possíveis problemas de segurança com base no prompt do usuário e nos dados em tempo real das requisições emitidas pelo Burp. Ao alavancar a IA e o processamento de linguagem natural, a extensão simplifica o processo de avaliação de segurança e fornece aos profissionais de segurança uma visão geral de alto nível do aplicativo ou endpoint escaneado. Isso permite que eles identifiquem mais facilmente possíveis problemas de segurança e priorizem sua análise, ao mesmo tempo que cobrem uma superfície de ataque potencial maior.

[!WARNING] O tráfego de dados é enviado para a OpenAI para análise. Se você tiver preocupações sobre isso ou estiver usando a extensão para aplicações críticas de segurança, é importante considerar isso cuidadosamente e revisar a Política de Privacidade da OpenAI para obter mais informações.

[!WARNING] Embora o relatório seja automatizado, ele ainda requer triagem e pós-processamento por profissionais de segurança, pois pode conter falsos positivos.

[!WARNING] A eficácia desta extensão depende fortemente da qualidade e precisão dos prompts criados pelo usuário para o modelo GPT selecionado. Essa abordagem direcionada ajudará a garantir que o modelo GPT gere resultados precisos e valiosos para sua análise de segurança.

Funcionalidades

• Adiciona uma verificação de scanner passivo, permitindo que os usuários enviem dados HTTP para um modelo GPT controlado pela OpenAI para análise através de um sistema de placeholders.
• Aproveita o poder dos modelos GPT da OpenAI para realizar análises abrangentes de tráfego, permitindo a detecção de vários problemas além de apenas vulnerabilidades de segurança em aplicações escaneadas.
• Permite controle granular sobre o número de tokens GPT usados na análise, permitindo ajustes precisos do comprimento máximo do prompt.
• Oferece aos usuários vários modelos OpenAI para escolher, permitindo que selecionem o que melhor atende às suas necessidades.
• Capacita os usuários a personalizar prompts e liberar possibilidades ilimitadas para interagir com os modelos OpenAI. Navegue pelos Exemplos de Casos de Uso para se inspirar.
• Integra-se ao Burp Suite, fornecendo todos os recursos nativos para pré e pós-processamento, incluindo a exibição dos resultados da análise diretamente na interface do Burp para análise eficiente.
• Fornece funcionalidade de solução de problemas através do Burp Event Log nativo, permitindo que os usuários resolvam rapidamente problemas de comunicação com a API OpenAI.

Requisitos

1. Requisitos de sistema

• Sistema Operacional: Compatível com sistemas operacionais Linux, macOS e Windows.

• Java Development Kit (JDK): Versão 11 ou superior.

• Burp Suite Professional ou Community Edition: Versão 2023.3.2 ou superior.

  [!IMPORTANT] Observe que o uso de qualquer versão inferior à 2023.3.2 pode resultar em um java.lang.NoSuchMethodError. É crucial usar a versão especificada ou uma mais recente para evitar esse problema.

2. Ferramenta de compilação

• Gradle: Versão 6.9 ou superior (recomendado). O arquivo build.gradle está disponível no repositório do projeto.

3. Variáveis de ambiente

• Defina a variável de ambiente JAVA_HOME para apontar para o diretório de instalação do JDK.

Certifique-se de que todos os requisitos de sistema, incluindo uma versão compatível do Burp Suite, sejam atendidos antes de compilar e executar o projeto. Observe que as dependências externas do projeto serão gerenciadas e instaladas automaticamente pelo Gradle durante o processo de compilação. Aderir aos requisitos ajudará a evitar possíveis problemas e reduzirá a necessidade de abrir novas issues no repositório do projeto.

Instalação

1. Compilação

1. Certifique-se de ter o Gradle instalado e configurado.

2. Baixe o repositório do burpgpt:

   git clone https://github.com/aress31/burpgpt
   cd .\burpgpt\
   

3. Compile o jar independente:

   ./gradlew shadowJar
   

2. Carregando a Extensão no Burp Suite

Para instalar o burpgpt no Burp Suite, primeiro vá para a aba Extensions e clique no botão Add. Em seguida, selecione o arquivo burpgpt-all.jar localizado na pasta .\lib\build\libs para carregar a extensão.

Uso

Para começar a usar o burpgpt, os usuários precisam concluir as seguintes etapas no painel de Configurações, que pode ser acessado na barra de menus do Burp Suite:

1. Insira uma chave de API OpenAI válida.
2. Selecione um modelo.
3. Defina o tamanho máximo do prompt. Este campo controla o comprimento máximo do prompt enviado para a OpenAI para evitar exceder o maxTokens dos modelos GPT (tipicamente em torno de 2048 para GPT-3).
4. Ajuste ou crie prompts personalizados de acordo com seus requisitos.

Uma vez configurado conforme descrito acima, o scanner passivo do Burp envia cada requisição para o modelo OpenAI escolhido através da API OpenAI para análise, produzindo descobertas de severidade do tipo Informational com base nos resultados.

Configuração do Prompt

O burpgpt permite que os usuários personalizem o prompt para análise de tráfego usando um sistema de placeholders. Para incluir informações relevantes, recomendamos o uso destes placeholders, que a extensão manipula diretamente, permitindo a inserção dinâmica de valores específicos no prompt: