GAP-Burp-Extension

关于 - v6.3

这是 Burp 原始 getAllParams 扩展的一个进化版。它不仅为你找到更多潜在参数供调查，还能找到尝试这些参数的潜在链接，并生成一个针对目标的专用词表用于模糊测试。 完整帮助文档可在此处查看，或通过 GAP 标签页上的帮助图标查看。

快速上手

安装

1. 访问 Jython 官网，下载最新的独立 JAR 文件，例如 jython-standalone-2.7.4.jar。
2. 打开 Burp，进入 Extensions -> Extension Settings -> Python Environment，将 Location of Jython standalone JAR file 和 Folder for loading modules 设置为保存 Jython JAR 文件的目录。
3. 在命令行中，进入 JAR 文件所在目录，运行 java -jar jython-standalone-2.7.4.jar -m ensurepip。
4. 从本项目下载 GAP.py 和 requirements.txt 并放置在相同目录。
5. 运行 java -jar jython-standalone-2.7.4.jar -m pip install --no-cache-dir --no-compile -r requirements.txt 安装 Jython 模块。
6. 进入 Extensions -> Installed，点击 Burp Extensions 下的 Add。
7. 选择 Extension type 为 Python，然后选择 GAP.py 文件。

使用

1. 只需在 Burp 作用域中选择一个目标（或多个目标），甚至仅选择一个子文件夹或端点，然后选择扩展 GAP：

或者，你可以在任何其他上下文中的请求或响应上右键单击，然后从 Extensions 菜单中选择 GAP。

2. 然后转到 GAP 标签页查看结果：

重要提示

如果你不需要某个模式，请取消勾选它，这样结果会更快。

如果你从 Site Map 视图为一个或多个目标运行 GAP，请不要在运行 GAP 时展开它们……不幸的是，这会使它慢很多。如果你一次只为 Site Map 视图中的一两个目标运行，效率会更高，因为大型项目可能消耗大量资源。 此外，如果从 Site Map 运行，请确保在运行前已在 Burp 中设置了正确的作用域。

如果你想在特定请求上运行 GAP，请不要从 Site Map 树视图中选择它们。如果可能的话，从 Site Map 内容视图或代理历史记录中运行会快得多。

很难设计 GAP 使其在所有屏幕分辨率和字体大小下都能显示所有控件。我已经尝试处理最常见的设置，但如果你发现无法看到所有控件，可以按住 Ctrl 键并点击 GAP 标志头部图像将其移除，以腾出更多空间。

Words 模式使用了 beautifulsoup4 库，这可能会很慢，请耐心等待！

详细说明

以下是 GAP Burp 扩展的深入介绍，从成功安装到解释所有功能。

注意：此视频录制于 2023 年 7 月 16 日，探讨的是 v3.X 版本，因此此版本之后添加的任何功能可能未包含在内。

待办事项

• 从 Burp 自身未识别出参数的请求中获取潜在参数，例如 XML、graphql 等。
• 改进链接查找的正则表达式，以消除“灾难性回溯”或超时问题。
• 如果能在不影响性能的情况下，在已上报的疑似参数问题中包含请求/响应标记。
• 更好地处理其他尺寸的显示和字体大小，确保所有控件都可见。
• 如果选择了多个 Site Map 树目标，更高效地写入文件。在某些情况下，这可能需要很长时间。
• 使用比 beautifulsoup4 更快的替代方案来解析响应中的 Words。

祝你好运，狩猎愉快！ 如果你真的喜欢这个工具（或任何其他工具），或者它们帮助你找到了一个极好的漏洞赏金，请考虑请我喝杯咖啡！ ☕（我需要咖啡因！）

🤘 /XNL-h4ck3r