CaA

README 版本: [English | 简体中文]

项目介绍

CaA是一款网络安全（漏洞挖掘）领域下的辅助型项目，主要用于分析、拆解HTTP协议报文，提取HTTP协议报文中的参数、路径、文件、参数值等信息，并统计出现的频次，帮助用户构建出具有实战应用价值的Fuzzing字典。除此之外CaA可以生成各类HTTP请求提供给BurpSuite Intruder用于Fuzzing工作。

CaA的设计思想来源于Web Fuzzing技术，皆在帮助用户发现隐藏的漏洞面，通过对信息的收集分析整理，让用户真正意义上的实现数据挖掘。

思路来源:

1. 我的Web应用安全模糊测试之路
2. WebFuzzing方法和漏洞案例总结

所获荣誉:

1. 入选2024年KCon兵器谱

注意事项:

1. CaA采用Montoya API进行开发，需要满足BurpSuite版本（>=2023.12.1）才能使用。

使用方法

插件装载: Extender - Extensions - Add - Select File - Next

初次装载CaA会自动创建配置文件Config.json和数据库文件CaA.db：

1. Linux/Mac用户的配置文件目录：~/.config/CaA/
2. Windows用户的配置文件目录：%USERPROFILE%/.config/CaA/

除此之外，您也可以选择将配置文件存放在CaA Jar包的同级目录下的/.config/CaA/中，以便于离线携带。

实用技巧

1. 你可以很方便的在CollectInfo中右键选择RAW、JSON、XML类型的参数值进行复制，用于对请求的测试。

2. 你可以在Generator模块中生成好Payload，然后来到Intruder模块中使用它，选择Extension-generated - CaA Payload Generator，最后别忘记取消URL编码。

功能说明

收集的信息类型：

1. GET、POST正常形式参数和值；
2. Cookie名和值；
3. POST（JSON、Multipart、XML）参数和值；
4. 逐层路径、文件和完整路径。

生成的Payload信息：

1. GET请求；
2. POST请求；
3. POST With JSON请求；
4. POST With XML请求；
5. POST With Multipart请求；
6. 目录逐层遍历请求。

界面信息

赞赏榜单

感谢各位对项目的赞赏，以下名单基于赞赏时间进行排序，不分先后，如有遗留可联系项目作者进行补充。

最后

如果你觉得CaA好用，可以打赏一下作者，给作者持续更新下去的动力！