AES Killer (Burpsuite 插件)

Burpsuite 插件，用于实时解密 AES 加密的流量

要求

• Burpsuite

已测试环境

• Burpsuite 2021.4
• Windows 10
• Ubuntu & PopOS

功能说明

• IProxyListener 解密请求并加密响应，IHttpListener 加密请求并解密响应。
• Burp（包括 Repeater、Intruder 和 Scanner）看到的是解密后的流量，但客户端/移动应用和服务器看到的是加密版本。

注意： 当前支持 AES/CBC/PKCS5Padding 和 AES/ECB/PKCS5Padding 加密/解密。

工作原理

• 需要密钥和初始向量，可通过使用 aes-hook.js 和 frida-hook.py 获取，或通过逆向应用获取（对于 iOS，请使用 Frida iOS Hook 获取 AES 密钥和 IV）
• 详细的使用指南位于 AES Killer - 使用指南
• 这篇文章将帮助您 使用 AES Killer 和 Frida 解密移动应用流量

如何构建

$ git clone https://github.com/Ebryx/AES-Killer/
$ cd AES-Killer
$ ./gradlew clean build

变体

• 用于 JSON 请求的 AES_Killer AES_Killer-JSON.java
• 用于不同端点上随机/交替参数的 AES_Killer AES_Killer-Parameters.java

AES_Killer-Parameters.java： 假设应用对请求中的少数参数进行加密，并且这些参数会随端点/请求而变，您只需按如下操作：

- 通过在 `registerExtenderCallbacks` 函数中添加 this.endpoints.add("abc"); 来添加端点
- 在 `String[][] parameters` 中添加需要加密的参数
- 在 grant_type 中添加其余参数，或留空

然后让代码为您完成魔法。

• AES_Killer_v3.0 通用变体，支持不同端点上的交替参数，兼容 GET、POST（JSON、表单） AES_Killer_v3.0.java

AES_Killer_v3.0.java： 此变体是通用的，可以处理任何类型的请求格式，即 GET、POST（表单、JSON），并支持不同端点上的交替参数。

- 克隆项目，将 `BurpExtender.java` 替换为 `AES_Killer_v3.0.java` 代码
- 按如下所示修改每个请求类型的端点和参数顺序
- 更新 SecretKey 和 IV 参数以及其他所需方法
- 构建项目，即可使用

• AES_Killer_v4.0.java 用于请求的多级加密（支持 Form、JSON 和 XML 格式）

AES_Killer_v4.0.java： 此变体用于多级加密，即应用使用一个密钥加密部分请求参数，然后使用另一个密钥加密整个请求体。

- 克隆项目，将 `BurpExtender.java` 替换为 `AES_Killer_v4.0.java` 代码
- 按如下所示修改端点和参数
- 更新密钥和其他所需方法
- 构建项目，将 jar 文件添加到您的 extender

注意： 由于请求的特性，这些变体可能无法直接为您工作，可能需要稍作调整。

如何安装

从 Release 下载 jar 文件并添加到 burpsuite

原始请求/响应

获取 AES 加密密钥和 IV

• 首先在 iOS 和 Android 设备上设置 frida 服务器。
• 在移动设备上启动应用。
• 在主机上运行 aes-hook.js 和 frida-hook.py，获取 AES 加密密钥和 IV，如 本文 所示。

解密请求和响应

• 在 Secret Key 字段中提供 SecretSpecKey
• 在 Initialize Vector 字段中提供 IV
• 提供 Host/URL 以过滤用于加密和解密的请求和响应
• 选择适当的请求和响应选项
• 按下 Start AES Killer

在 Repeater、Intruder 和 Scanner 中使用 AES Killer

启动 AES Killer 后，它将接管 Burp 的 IHttpListener.processHttpMessage，该接口负责处理所有出站和入站流量。AES Killer 执行以下操作：

• 在将最终请求发送到服务器之前，ProcessHttpMessage 会加密请求
• 在收到响应后，ProcessHttpMessage 会先解密响应，然后再显示给我们

因此，我们只会收到明文响应，并且可以操作明文请求。

手动加密和解密

我们还可以使用 AES Killer 手动加密和解密字符串。例如，从请求中取出一个加密字符串 TYROd49FWJjYBfv02oiUzwRQgxWMWiw4W3oCqvNf8h3bnb7X0bobypFzMt797CYU，并使用 AES Killer 解密。同样，我们也可以执行加密操作。

从 此处 下载演示应用