此应用不再受支持

该工具帮助发现隐藏参数，这些参数可能存在漏洞或能揭示其他扫描者遗漏的有趣功能。通过逐行比较页面、比较响应码和反射，实现了更高的准确性。

功能

• 从代理或重放器选项卡中选择多个请求。
• 每个选定的请求在单独的线程中执行。
• 发现隐藏参数时自动创建问题。
• 支持 HTTP/2。
• 检测到参数的请求在代理选项卡中可见。
• 检测到 WAF 时，以“信息”严重级别添加问题。
• 自动检测注入点。如果存在请求体，则忽略 URL 查询中的参数。
• 可以使用 %s 或 &%s 定义自定义注入点。

使用说明

• 提供四种搜索选择：
  • 小字典（推荐，25000 个单词，5 个线程）
  • 大字典（63000 个单词，15 个线程）
  • x8083 - 所有请求将通过端口 8083 代理（例如，你可以在 Burp 中配置该端口）
  • 调试参数 - 最小请求数，仅检测调试参数和基于响应的参数

      

测试

欢迎在 https://4rt.one/index.html 检查工具是否按预期工作，并与其他工具进行比较。这里有 2 个反射参数、4 个改变代码/头部/主体的参数，以及一个额外的值非随机的参数。

检测到的参数

致谢

感谢 Sh1Yo 出色的 x8 工具。他为其添加了特殊功能，使我们能够编写此封装。我们还发现了一些错误，特别是 HTTP/2 中与 Burp Suite 兼容性的问题。要详细了解该项目，或者你需要命令行版本，请点击此处。

待办事项

• 实现配置自定义代理的面板
• 支持 Windows 版本
• 实现选项 - 25000 个单词，1 个线程
• 发布到 BApp Store

演示

安装

你需要在 Burp Suite Extender 选项中配置 Jython Standalone 路径。
由于这是一个封装，将使用预编译二进制文件。

• Linux
  • 从发布版使用
    root@kitploit:~

    Burp -> Extender -> ./x8-Burp/linux_x8.py
    

• Windows
  • 从发布版使用
    root@kitploit:~

    Burp -> Extender -> ./x8-Burp/win_x8.py