BurpParamFlagger

一款 Burp 扩展，添加被动扫描检查，用于标记其名称或值可能表明存在 SSRF 或 LFI 插入点的参数。

注意： 我认为使用此扩展需要 Burp Pro，因为它依赖于扫描器功能，而社区版不包含该功能。

该扩展将检查参数的名称和值，查找任何可能表明其为 SSRF 或 LFI 插入点的常见词汇或模式。

例如，SSRF 检查包括查找类似 'redirect'、'url' 或 'domain' 的参数名称，以及看起来像 URL 的值。

LFI 检查则查找类似 'include'、'attach' 或 'file' 的名称，以及含有文件扩展名的值。

一些基本示例：

安装

克隆仓库并将扩展加载到 Burp：转到 Extender 选项卡，单击 'Add'，将扩展类型更改为 'Python'，提供克隆的 BurpParamFlagger.py 文件，然后按照后续提示操作。

用法

扩展加载后无需额外操作。您应该会在仪表板上看到任何被标记的请求，与其它扫描器问题一同显示。