一些相见恨晚的BurpSuite插件推荐

文章来源：我的安全专家之路

 

BurpSuite 是我心中最强大的Web渗透工具，没有之一！它也是日常中用得最多的工具，它有一些强大的插件可以帮忙我们减少大量的工作量以及更好地挖掘漏洞，今天分享下我常用的一些 burp 插件。

 

Autorize —— 强大的越权自动化测试工具

 

如果你在测试越权的时候，还是手动把URL复制到另一个浏览器的低权限账号中来打开，你就out了！

 

Autorize 是一个测试权限问题的插件，可以在插件中设置一个低权限账号的  cookie ，然后使用高权限的账号去浏览所有功能，Autorize 会自动用低权限账号的 cookie 重放请求，同时也会发一个不带 cookie 的请求来测试是否可以在未登录状态下访问。

 

该插件可以直接在Bapp Store 安装。

 

 

如果结果中的 Authorization Enforce 列是绿色，那么就可以确定该请求两个账号都可以访问了。

 

 

Turbo Intruder —— 短时间发送大量请求

 

如果你还在用 burp 的 intruder 功能来爆破密码，测试并发，爆破目录那你就 out 了！

 

Turbo Intruder 是 Intruder 的增强， 它可以在短时间内发送大量的 http 请求，具体速度取决于你的网速，即使在比较差的公共网络下，它也能每秒发送几百个请求。

 

使用 Turbo Intruder 我们可以在几分钟内爆破完百万级的密码字典和目录字典，也可以在一瞬间发送几十个并发请求来测试并发漏洞。

 

该插件可以直接在Bapp Store 安装。

 

 

在要插入 payload 的地方加个 %s ，然后在下面窗口添加自定义的处理脚本即可开始爆破。