Как работает • Установка • Задачи • Присоединиться к Discord

Как это работает

• Пытается получить доступ к внутренним API или файлам через SSRF-атаку на основе пути. Например https://www.example.com/api/v1/users мы пробуем полезную нагрузку /..;/..;/..;/..;/ в надежде получить 400 Bad Request:
• Затем алгоритм пытается найти потенциальный корень внутреннего API с помощью: https://www.example.com/api/v1/users/..;/..;/..;/ в надежде получить 404 Not Found
• Затем мы пытаемся обнаружить содержимое; если что-то найдено, выполняется дополнительная проверка, чтобы убедиться, что это на 100% внутреннее и стоит исследования.
• Поддерживает ручную активацию через контекстное меню.
• Полезные нагрузки предоставляются пользователем на отдельной вкладке, значения по умолчанию хранятся в query payloads.txt
• Вы также можете выбрать собственный список слов
• Проблемы добавляются на вкладке Issue Activity.

Установка

• Скачайте Jython с:

https://www.jython.org/download.html

Убедитесь, что используете Jython 2.7.2

• Загрузите Burp, Extender -> Options
• Перейдите в Python Environment -> Выберите файл -> Выберите jython.jar
• Перейдите в Extensions -> Add -> TProx.py

Задачи

• Улучшить дизайн
• Добавить больше настроек.

Лицензия

TProxer распространяется под лицензией MIT