thekingofduck/burpfakeipРасширение Burp Suite для подмены IP-адресов в HTTP-запросах, позволяющее тестировать серверные ограничения по IP и обходить контроль доступа на основе IP.
Скачать и использовать: Releases
2021/09/24
2021/05/21
Переписан на Java, добавлены функции, упомянутые в issue: автоматическое добавление XFF-заголовка и случайного IP к каждому запросу. Подробнее см. пункт AutoXFF в контекстном меню. По умолчанию автоматически добавляемый xff-заголовок — X-Forwarded-For, значение — сгенерированный случайный IP; оба параметра можно настроить.
2020/04/25
Оптимизирован код, добавлено 9 новых типов заголовков.
Четыре небольшие функции
В модуле Repeater нажмите правой кнопкой мыши, выберите меню fakeIp, затем нажмите функцию и введите указанный IP:
inputIP
Программа автоматически добавит все возможные для подделки поля в заголовки запроса.
В модуле Repeater нажмите правой кнопкой мыши, выберите меню fakeIp, затем нажмите функцию 127.0.0.1:
В модуле Repeater нажмите правой кнопкой мыши, выберите меню fakeIp, затем нажмите функцию randomIP:
Перебор со случайным IP — самая важная функция этого плагина.
Отправьте пакет в модуль Intruder, в разделе Positions переключите Attack type в режим Pitchfork, выберите подходящие поля для подделки, а также поле, которое нужно перебирать:
Следуя стрелкам, установите источник Payload как Extensin-generated, задайте нагрузку fakeIpPayloads, затем настройте вторую переменную.
Нажмите Start attack, чтобы начать перебор.
Как показано на рисунке выше, каждый перебор выполняется с использованием другого поддельного IP, что позволяет избежать блокировки.
PS: Предварительное условие для перебора со случайным IP — возможность подделки IP для обхода ограничений сервера.