TProxer

一个Burp Suite扩展，用于自动化发现基于反向代理路径的SSRF。

工作原理 • 安装 • 待办 • 加入Discord

工作原理

• 尝试通过基于路径的SSRF攻击访问内部API或文件。 例如 https://www.example.com/api/v1/users 我们尝试payload /..;/..;/..;/..;/ 期望获得 400 Bad Request：
• 然后算法尝试找到潜在的内部API根路径： https://www.example.com/api/v1/users/..;/..;/..;/ 期望获得 404 Not Found
• 然后，我们尝试发现内容，如果发现任何内容，则执行额外测试以确定是否100%为内部且值得调查。
• 支持通过上下文菜单手动激活。
• Payload由用户在专用标签中提供，默认值存储在 query payloads.txt 中
• 您也可以选择自己的字典
• 问题会添加到问题活动标签下。

安装

$ git clone https://github.com/ethicalhackingplayground/TProxer

• 从以下地址下载Jython：

https://www.jython.org/download.html

请确保使用Jython 2.7.2

• 加载Burp，进入 Extender -> Options
• 转到 Python Environment -> 选择文件 -> 选择 jython.jar
• 转到 Extensions -> 添加 -> TProx.py

待办

• 改进设计
• 添加更多自定义选项

许可

TProxer 基于 MIT License 分发