HopLa - Burp copilot

💥 拥有 PayloadsAllTheThings 的全部能力，却没有那些额外开销。

此扩展为 Burp Suite 增强了智能自动补全和内置有效载荷，以简化渗透测试。它支持与 Ollama、OpenAI 和 Gemini 等 AI 提供商集成，以提供聊天和内容生成/转换等高级功能。您还可以添加自己的有效载荷，使其更贴合您的需求！

由 Alexis Danizan 开发
由 Synacktiv 🥷 以开源形式发布

功能特性:

集成 AI 驱动的自动补全（Copilot 风格）
启用基于 AI 的聊天，用于交互和指导
使用 AI 指令快速转换 HTTP 请求
复制格式化后的请求和响应，便于撰写报告
在 Repeater 中搜索和替换
访问一键有效载荷插入菜单
动态插入 Burp Collaborator 域名
为特定有效载荷分配键盘快捷键
在测试过程中即时添加自定义关键词

Demo GIF

快速开始

安装

从发布目录下载 jar 文件
使用 Extender 选项卡将其添加到 Burp Suite

使用方法

默认情况下，HopLa 附带一组内置有效载荷。您可以通过顶部菜单加载自己的自定义 YAML 文件来扩展它们。（有关参考，请参阅默认有效载荷文件。）

可以通过导入您的 YAML 配置来配置 AI 提供商（参见配置 AI 提供商）

默认预定义了几个键盘快捷键，可以通过配置文件进行自定义。

Ctrl+Q - 打开有效载荷库菜单
Ctrl+J - 启动 AI 聊天
Ctrl+Alt+O - 打开快速操作菜单
Ctrl+L - 打开搜索与替换菜单
Ctrl+M - 插入 Burp Collaborator 有效载荷
Ctrl+Alt+J - 打开自定义关键词管理器

如果您使用的是 i3，请将以下行添加到 $HOME/.config/i3/config 中，以启用该框架的浮动模式：

for_window [class=".*burp-StartBurp.*" title="^ $"] floating enable

配置 AI 提供商

HopLa 支持多种 AI 提供商（OpenAI、Gemini、Ollama），但 AI 驱动的自动补全仅在与 Ollama 搭配时可用。

AI 的 YAML 配置文件结构如下（可以从 HopLa 菜单导出示例文件）：

shortcut_ai_chat: Ctrl+J
shortcut_quick_action: Ctrl+Alt+O
#autocompletion_min_chars: 1 # Minimum input length for AI-powered autocompletion (default: 1)

providers:
  OPENAI:
    enabled: true
    chat_model: gpt-4.1
    chat_endpoint: https://api.openai.com/v1/chat/completions
    #chat_model_system_prompt: REPLACE_ME
    quick_action_model: gpt-4.1
    #quick_action_system_prompt: REPLACE_ME
    quick_action_endpoint: https://api.openai.com/v1/chat/completions
    headers:
      Authorization: "Bearer REPLACE_ME"
    proxy:
      enabled: true
      host: 127.0.0.1
      port: 5555
      username: user123
      password: pass123
      type: SOCKS # SOCKS or HTTP
  GEMINI:
    enabled: true
    chat_model: gemini-2.0-flash
    chat_endpoint: https://generativelanguage.googleapis.com/v1beta/models/@model:streamGenerateContent?alt=sse&key=@key #HopLa replace @key with api_key value
    #chat_model_system_prompt: REPLACE_ME
    quick_action_endpoint: https://generativelanguage.googleapis.com/v1beta/models/@model:streamGenerateContent?alt=sse&key=@key #HopLa replace @key with api_key value
    #quick_action_system_prompt: REPLACE_ME
    api_key: REPLACE_ME
    proxy:
      enabled: true
      host: 127.0.0.1
      port: 5555
      username: user123
      password: pass123
      type: SOCKS # SOCKS or HTTP

  OLLAMA:
    enabled: true
    completion_model: qwen2.5-coder:3b
    completion_endpoint: http://localhost:11434/api/generate
    #completion_model_system_prompt: REPLACE_ME
    completion_prompt: "<|fim_prefix|>@before<|fim_suffix|>@after<|fim_middle|>" # @input, @section, @before, @after
    completion_params:
      seed: 42
      temperature: 0.0
      top_p: 1.0
      top_k: 0
      num_predict: 15
    completion_stops:
      - "\n"
      - "<|fim_middle|>"
    chat_model: qwen2.5-coder:3b
    #chat_system_prompt: REPLACE_ME
    chat_endpoint: http://localhost:11434/api/chat
    #chat_stops:
    #  - "\n"
    #chat_params:
    #  temperature: 0.0
    quick_action_model: qwen2.5-coder:7b
    quick_action_endpoint: http://localhost:11434/api/generate
    #quick_action_system_prompt: REPLACE_ME
    #quick_action_stops:
    #  - "\n"
    #quick_action_params:
    #  temperature: 0.0
  BURP:
    enabled: true
    #chat_system_prompt: REPLACE_ME
    chat_params:
      temperature: 0.0
    #quick_action_system_prompt: REPLACE_ME
    quick_action_params:
      temperature: 0.0

defaults:
  chat_provider: OLLAMA # OLLAMA, OPENAI, GEMINI, BURP
  completion_provider: OLLAMA # OLLAMA, OPENAI, GEMINI, BURP
  quick_action_provider: OLLAMA # OLLAMA, OPENAI, GEMINI, BURP
  timeout_sec: 60

prompts:
  - name: technologies
    description: "Fingerprint web technologies"
    content: |
      Analyze the following HTTP response and identify the web technologies used. 
      List your reasoning for each technology detected.

quick_actions:
  - name: multipart
    description: "Transform request to multipart"
    content: |
      Transform the following HTTP POST request into a multipart/form-data request:
  - name: json
    description: "Transform request to json"
    content: |
      Transform the following HTTP POST request into a JSON request:
  - name: headers_name
    description: "Extract HTTP header names"
    content: |
      From the HTTP request below, extract only the unique header names. List each name on a separate line. Do not include header values.

对于 BApp Store 版本的扩展，仅支持 Burp 提供商。

如何自定义有效载荷

YAML 有效载荷文件遵循以下结构（没有嵌套限制）：

shortcut_search_and_replace: Ctrl+L
shortcut_payload_menu: Ctrl+Q
shortcut_collaborator: Ctrl+M
shortcut_add_custom_keyword: Ctrl+Alt+J

categories:
  - name: "XSS"
    payloads:
      - name: "Fingerprint"
        value: "\"><h1>"
        shortcut: Ctrl+k # Use this shortcut to insert a payload
  - name: "Path Traversal"
    categories:
      - name: "Simple"
        payloads:
          - name: ""
            value: "../"
      - name: "Simple 2"
        payloads:
          - name: ""
            value: "../"
keywords:
  - name: "Headers"
    values:
      - "Accept"
      - "Accept-Charset"

若要添加不会出现在菜单中的自动补全关键词，可以将它们添加到 keywords 类别中：

keywords:
  - name: "Headers"
    values:
      - "Accept"
      - "Accept-Charset"

构建

要启用其他提供商，请在 build.gradle 中设置 def externalAIEnabled = true。

使用 Docker 或 Podman 构建：

$ podman build -t hopla .

$ podman run --rm -v "$PWD":/data hopla gradle build
Starting a Gradle Daemon (subsequent builds will be faster)
> Task :compileJava

> Task :encryptResource
Encrypting /data/src/main/resources/default-payloads.yaml to /data/build/encryptedResources/default-payloads.enc.yaml

> Task :processResources
> Task :classes
> Task :jar
> Task :assemble
> Task :compileTestJava NO-SOURCE
> Task :processTestResources NO-SOURCE
> Task :testClasses UP-TO-DATE
> Task :test NO-SOURCE
> Task :check UP-TO-DATE
> Task :build

BUILD SUCCESSFUL in 11s
4 actionable tasks: 4 executed

$ ls releases
HopLa.jar

执行 gradle build，您将在 releases/HopLa.jar 中获得构建好的插件。

为了避免触发杀毒软件警报，YAML 有效载荷文件在构建时会被加密。

致谢

非常感谢你们的出色工作！

许可证

基于 BSD 3-Clause 许可证发布，更多信息请参阅 LICENSE

欢迎随时报告错误、提出功能建议或发送拉取请求。

聊天	✅ 是	✅ 是	✅ 是
自动补全	✅ 是	❌ 否	❌ 否
快速操作	✅ 是	✅ 是	✅ 是

HopLa

最受欢迎

HopLa - Burp copilot

快速开始

安装

使用方法

配置 AI 提供商

如何自定义有效载荷

构建

致谢

许可证