Burp Suite Extensions: шпаргалка по OWASP Top 10 2025 — какой плагин ставить и зачем

УСТРАНЕНИЕ КОНКУРЕНТОВ. БЛОКИРОВКА ДОМЕНОВ, БЛОКИРОВКА ИНСТАГРАМ/ТЕЛЕГРАМ И ДРУГОЕ. ПРОВЕРЕННЫЙ СЕЛЛЕР.

НОВЫЕ ТОРГОВАЯ НОВОСТИ ЧАТ

Скрыть

		ANTICHAT > БЕЗОПАСНОСТЬ И УЯЗВИМОСТИ > Этичный хакинг или пентестинг
Burp Suite Extensions: шпаргалка по OWASP Top 10 2025 — какой плагин ставить и зачем

Опции темы

Поиск в этой теме

Опции просмотра

22.04.2026, 12:09

Сергей Попов

Новичок

Регистрация: 14.08.2015

Сообщений: 0

С нами: 5656404

Репутация: 0

Можешь открыть эту статью, когда нужно быстро вспомнить: какой extension ставить под конкретную категорию OWASP, как его настроить, что смотреть в выводе. Статья основана на OWASP Top 10 2021; в августе 2025 опубликован RC новой версии с изменениями в классификации - сверяйтесь с owasp.org/Top10.

Prerequisites: Burp Suite Pro (актуальная версия), BApp Store доступен, Jython 2.7 настроен для Python-extensions (Python 2 синтаксис - да, в 2025 году, не спрашивайте); JRuby - только если работаете с редкими Ruby-extensions. Turbo Intruder и Param Miner требуют Burp Pro - в Community Edition либо работают криво, либо не работают вовсе.

Область применения: OWASP Top 10 2021 (2025 RC вносит изменения в классификацию - сверяйтесь с owasp.org/Top10). ATT&CK-техники: T1190 (Exploit Public-Facing Application), T1595.002 (Vulnerability Scanning), T1110 (Brute Force).
Основные команды

OWASP категорияExtensionУстановка / действиеЧто даётA01 – Broken Access Control

Код:

Autorize

BApp Store → Install → вставить cookie низкопривилегированного юзераРеплицирует каждый запрос с чужой сессией автоматом; красный = IDOR/privilege escalationA01 – Broken Access Control

Код:

AuthMatrix

BApp Store → задать матрицу ролей → RunТестирует все роли против всех эндпоинтов; chain-режим захватывает CSRF-токеныA05 – Security Misconfiguration

Код:

Additional Scanner Checks

BApp Store → пассивный сканЛовит отсутствие HSTS,

Код:

X-Content-Type-Options

Код:

X-XSS-Protection

; создаёт Issues автоматически (отсутствие заголовков - misconfiguration; HSTS косвенно касается и A02)A03 – Injection (SQLi)

Код:

ActiveScan++

BApp Store → активный скан включается автоматическиРасширяет встроенный сканер: XXE, SSTI, улучшенный SQLi, command injectionA03 – Injection (XSS)

Код:

Reflected Parameters

BApp Store → пассивный мониторинг трафикаОтслеживает параметры длиннее 3 символов, отражённые в ответе; дальше - в Scanner/RepeaterA03 – Injection (JS)

Код:

JSpector

BApp Store → пассивный краулинг JS-файловВытаскивает скрытые эндпоинты, hardcoded secrets, опасные функции (

Код:

eval()

Код:

document.write()

); T1059.007A04 – Insecure Design

Код:

Turbo Intruder

BApp Store → правый клик на запросе → Send to Turbo IntruderPython-скрипты для race conditions, тысячи req/sec; плоское потребление памятиA05 – Security Misconfiguration

Код:

HTTP Request Smuggler

BApp Store → правый клик → Launch smuggler probeАвтопроверка CL.TE, TE.CL и других вариантов smuggling (smuggling - зверь без чёткой прописки в OWASP Top 10; может быть и A04, и A05, зависит от root cause)A06 – Vulnerable Components

Код:

Retire.js

BApp Store → пассивный сканСверяет JS-библиотеки с базой известных CVE; третий по популярности в BApp StoreA07 – Auth Failures

Код:

JWT Editor

BApp Store → новая вкладка JWT в RepeaterРедактирование, подпись, атаки: alg:none, weak secret, key confusionA07 – Auth Failures

Код:

SAML Raider

BApp Store → вкладка SAML в ProxyXML signature wrapping, replaying assertions, XXE в SAMLA08 – Software Integrity

Код:

Java Deserialization Scanner

BApp Store → пассивный + ручной режимДетектирует сериализованные Java-объекты в cookies/API; интеграция с ysoserialA09 – Logging Failures

Код:

Logger++

BApp Store → расширенное логирование всех запросов/ответовФильтрация, экспорт, pattern matching - видишь что Burp делает за кулисамиA10 – SSRF

Код:

Collaborator Everywhere

BApp Store → автоматически инжектирует заголовки (

Код:

X-Forwarded-Host

и др.)Out-of-band callbacks в Burp Collaborator; результаты в Issues; T1190Recon (все категории)

Код:

Param Miner

BApp Store → правый клик → Guess (headers/params/cookies)До 65 000 имён параметров за запрос; находит unkeyed inputs для cache poisoning

Частые сценарии
IDOR через Autorize (A01)
Работает, когда приложение использует числовые/UUID идентификаторы в URL или теле запроса. Настраиваешь один раз - Autorize молотит фоном весь сеанс.

Код:

Код:

1. Autorize → вставить session cookie пользователя B (низкие права)
2. Браузер → залогиниться как пользователь A (высокие права)
3. Открывать /api/users/123, /api/orders/456 и т.д.
4. Autorize → смотреть строки с красным статусом "Bypassed!"

В выводе: колонка

Код:

Autorize Status

Код:

Bypassed!

- запрос вернул 200 с данными чужого пользователя. Готовый IDOR-репорт, можно нести заказчику.
Race condition через Turbo Intruder (A04)
Актуально для «применить промокод», «перевод средств», «регистрация уникального username» - всё, где бизнес-логика полагается на «один запрос = одно действие». Стандартный Intruder тут слишком медленный, даже не пытайтесь.

Python:

Код:

# Single-packet attack (James Kettle, 2023) - все запросы в одном TCP-пакете
def
queueRequests
(
target
,
wordlists
)
:
engine
=
RequestEngine
(
endpoint
=
target
.
endpoint
,
concurrentConnections
=
1
,
engine
=
Engine
.
BURP2
)
# gate-based синхронизация; для true single-packet attack нужен HTTP/2 на целевом сервере
for
i
in
range
(
20
)
:
engine
.
queue
(
target
.
req
,
gate
=
'race1'
)
engine
.
openGate
(
'race1'
)

Если в ответе несколько

Код:

200 OK

вместо одного - race condition подтверждена. Я на одном проекте так нашёл двойное списание промокода на 30% скидку - заказчик сначала не поверил, пока не увидел логи.
Обнаружение SSRF через Collaborator Everywhere (A10)
Тут вообще ничего делать не нужно - просто браузишь приложение после установки extension.

Код:

Код:

BApp Store → Collaborator Everywhere → Install
Burp → Project options → Misc → Burp Collaborator server (убедись что включён)
Браузер → проходишь по всем разделам приложения
Burp → Issues → фильтр "out-of-band"

Extension сам подставляет

Код:

X-Forwarded-Host

Код:

X-Forwarded-For

Код:

Referer

с Collaborator-payload. Если сервер делает DNS/HTTP запрос - видишь callback в Issues. Тихо, пассивно, без лишних телодвижений.
JWT-атака alg:none через JWT Editor (A07)
Классика - когда сервер принимает JWT без проверки подписи. Встречается реже, чем хотелось бы (нам), но когда встречается - это сразу critical.

Код:

Код:

Repeater → вкладка JWT Editor → выбрать токен
Для alg:none: Attack → "none" signing algorithm → убрать подпись → отправить
Для key confusion: Attack → "Embedded JWK" → встраивает ваш ключ в заголовок
Если 200 OK - сервер не валидирует подпись корректно

Сервер принял токен с

Код:

"alg":"none"

и вернул данные? Поздравляю - критическая уязвимость A07, можно писать в отчёт.
Gotchas & подводные камни
Вот тут начинается самое интересное - то, чего нет в документации к extensions:

Autorize не дружит с CSRF-токенами без дополнительной настройки. Если приложение генерирует per-request CSRF - бери AuthMatrix с chain-режимом, Autorize будет тупо получать 403
Reflected Parameters шумит на аналитических параметрах (
Код:
```
utm_source
```
,
Код:
```
fbclid
```
) - добавляй их в исключения сразу, иначе утонешь в false positives
Turbo Intruder хочет Python 2.x синтаксис в некоторых встроенных шаблонах. Скрипт падает? Проверь
Код:
```
print
```
vs
Код:
```
print()
```
- классика жанра
Collaborator Everywhere может положить приложение - инжекция заголовков вызывает ошибки на строгих WAF. На production-scope отключай, если не хочешь объяснять заказчику, почему у него сайт лёг
JWT Editor молчит, если токен не в стандартном
Код:
```
Authorization: Bearer
```
- вкладка JWT просто не появится. Ищи токен вручную в теле запроса или cookies
ActiveScan++ ощутимо тормозит сканирование - включай точечно на конкретных эндпоинтах, а не на весь scope
Java Deserialization Scanner без ysoserial.jar - это только пассивная детекция. Для активного тестирования нужен jar, без него половина функций бесполезна
Param Miner с

Код:

--guess-headers

триггерит rate limiting - на prod-like окружениях ставь задержку, иначе тебя забанят быстрее, чем найдёшь что-то полезное
Logger++ жрёт память как не в себя. Через 2-3 часа без фильтра по scope Burp начнёт задыхаться. Настрой фильтр сразу
SAML Raider ломается, если assertion передаётся в URL-encoded форме без предварительного декодирования - прогони через Hackvertor сначала

Quick-reference card

ЗадачаExtensionКлючевое действиеIDOR / privilege escalation

Код:

Autorize

Вставить cookie низкопривилегированного юзера → браузить как adminСкрытые параметры / cache poisoning

Код:

Param Miner

Правый клик → Guess headers/paramsJWT-атаки (alg:none, weak secret)

Код:

JWT Editor

Вкладка JWT в Repeater → AttackRace conditions

Код:

Turbo Intruder

Send to Turbo Intruder → race.py шаблонSSRF out-of-band

Код:

Collaborator Everywhere

Установить → браузить → смотреть IssuesXSS-векторы (reflected)

Код:

Reflected Parameters

Пассивный мониторинг → Send to ScannerУстаревшие JS-библиотеки (A06)

Код:

Retire.js

Пассивный скан → Issues с CVEHTTP Request Smuggling

Код:

HTTP Request Smuggler

Правый клик → Launch smuggler probe

Вопрос к читателям
При тестировании IDOR через Autorize на приложениях с GraphQL - как вы обходите проблему, что Autorize реплицирует запрос целиком, а GraphQL-эндпоинт один (

Код:

/graphql

), и разграничение идёт по телу запроса, а не по URL? Используете InQL в связке с Autorize, или пишете кастомный Burp extension через Montoya API для подмены

Код:

userId

в теле? Покажите вашу связку - интересно сравнить подходы на реальных проектах.

𝕏 Twitter Reddit Telegram Копировать ссылку

« Предыдущая тема | Следующая тема »

Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)

Быстрый переход

Внести депозит

Депозит создан

Вывести депозит