reburp

Uma extensão do Burp Suite que expõe toda a API Montoya como uma API REST local, com Swagger UI

Issues | Discussions

O que é o reburp

O reburp transforma o Burp Suite em algo que você pode scriptar. Ele é carregado como uma extensão Java e serve a API Montoya por meio de uma API REST HTTP em http://127.0.0.1:9090, com uma especificação OpenAPI e Swagger UI. Qualquer coisa que você clicaria no Burp - ler o histórico do proxy, enviar uma requisição, editar o escopo, executar um scan, decodificar um token - torna-se uma chamada JSON que um agente ou uma linha de curl pode fazer.

Ele combina com a skill de agente burp-interaction para que um assistente de IA possa controlar o Burp diretamente.

• O que o reburp desbloqueia
• Instalação
• Carregar no Burp Suite
• Documentação da API
• Endpoints
• Início rápido
• Segurança
• Cobertura da API
• Notas
• Contribuindo

O que o reburp desbloqueia

Recursos do Burp que seu agente agora pode controlar via REST:

• Scanner - iniciar uma auditoria ativa ou crawl, parar uma tarefa em execução, extrair o relatório
• Intruder e mecanismo de requisições - fuzzing, além de um mecanismo de alta vazão no estilo Turbo Intruder (fila, pausar, retomar, cancelar)
• Mapa do site alvo - iterar e pesquisar toda a árvore do alvo, não apenas o histórico do proxy
• WebSockets - abrir uma conexão e enviar frames de texto/binários, não apenas ler o histórico
• Ferramentas de engajamento - gerar um PoC de CSRF, descobrir conteúdo, encontrar referências, enviar para o decoder
• Teste de controle de acesso - reproduzir uma requisição com e sem seu token e comparar as respostas, no estilo Autorize (BOLA/BFLA)
• BChecks e Bambda - importar regras de scan personalizadas, construir cadeias de filtros, levantar issues personalizadas

Instalação

Pegue o reburp-*.jar mais recente em Releases, ou compile a partir do código-fonte (requer Java 17+).

Compatibilidade

Cada release do reburp é compilado contra uma versão mínima do Burp Suite (Montoya). Em um Burp mais antigo, pegue o jar correspondente em Releases.

Compilar a partir do código-fonte

Carregue reburp.jar em vez da cópia versionada. O Burp recarrega uma extensão a partir do caminho de onde ela foi carregada, e o nome versionado muda a cada release, então o não versionado continua recarregando após uma atualização em vez de silenciosamente deixá-lo na build anterior.

Se seu JAVA_HOME não estiver definido, aponte-o para seu JDK:

Carregar no Burp Suite

1. Abra o Burp Suite → Extensions → Installed → Add
2. Tipo de extensão: Java
3. Arquivo da extensão: build/libs/reburp.jar (ou o reburp-*.jar que você baixou em Releases)
4. Clique em Next - a extensão inicia automaticamente na porta 9090

Uma aba reburp aparece no Burp mostrando cada chamada REST conforme ela acontece.

Cada linha é uma chamada REST. Selecioná-la mostra a requisição e a resposta da API, além da requisição e da resposta que o reburp enviou ao alvo em seu nome.

Documentação da API

Depois de carregado, abra no seu navegador:

• Swagger UI: http://127.0.0.1:9090/docs
• Especificação OpenAPI: http://127.0.0.1:9090/openapi.json

A especificação é a fonte da verdade para os formatos de requisição e resposta.

Endpoints

Início rápido

Segurança

O servidor REST escuta apenas em 127.0.0.1, mas a porta é não autenticada e responde a qualquer origem. Qualquer coisa que consiga alcançar localhost:9090 pode controlar o Burp, incluindo uma página web aberta no seu navegador. Trate a porta como confiável apenas localmente e nunca a exponha além do loopback.

Por causa disso, a execução de comandos do SO está desativada por padrão. /api/utils/shell/execute e /api/utils/shell/execute-raw retornam 403 a menos que a extensão veja isto no ambiente do próprio processo do Burp:

Com isso definido, qualquer origem que consiga alcançar a porta obtém execução remota de código no host. Ative isso apenas quando você aceitar esse risco. Toda invocação é escrita na aba de saída da extensão. GET /api/utils/shell/status informa se está ativado e nunca exige que esteja.

Cobertura da API

A alegação de "API Montoya completa" é verificada mecanicamente por tools/api_coverage.py, que o workflow de build da CI executa a cada push e falha se qualquer método mapeável for deixado sem exposição. O comportamento é exercitado separadamente por tools/smoke_test.py contra uma extensão carregada.

Notas

• A Porta é fixada em 9090. Altere port em BurpRestApiExtension.kt e recompile se necessário.
• Endpoints somente Pro (scanner, collaborator) retornam HTTP 403 na edição Community com uma mensagem explicativa.
• A API Montoya é compileOnly - ela não é empacotada; o Burp a fornece em tempo de execução.
• Todas as respostas são JSON. Erros retornam { "error": "..." }.
• A especificação OpenAPI é montada a partir de OpenApiSpec.kt mais fragmentos em docs/. Para adicionar um grupo de rotas, escreva um fragmento *Paths() e *Schemas() e liste-o em docs/OpenApiSpecExtra.kt.

Contribuindo

Issues e pull requests são bem-vindos. Por favor, execute python3 tools/api_coverage.py e ./gradlew shadowJar antes de abrir um PR. Novos grupos de rotas devem vir com seu fragmento OpenAPI para que a documentação permaneça completa.