介绍 burp-rest-api v2

自2016年首次提交以来，burp-rest-api 一直是基于 BurpSuite 的 Web 扫描自动化的默认工具。许多安全专业人士和组织依赖此扩展来协调 Burp Spider 和 Scanner 的工作。

今天，我们自豪地宣布该工具的新主要版本：burp-rest-api v2.0.1。

从 2018 年 6 月开始，Doyensec 加入了 VMware，共同开发和支持不断增长的 burp-rest-api 社区。经过多年在大型科技公司和初创企业的经验，我们理解安全自动化在软件安全活动中的必要性和效率提升。遗憾的是，内部安全工具很少开源，仍有太多公司在重复造轮子。我们认为，在基础组件（如 burp-rest-api）上合作代表了安全自动化的未来，因为它使各种规模的公司能够构建定制化解决方案。

经过几周的工作，我们清理了所有未解决的问题，并将 burp-rest-api 带入了下一个阶段。在这篇博客文章中，我们想总结一些改进。

发布

您现在可以从 https://github.com/vmware/burp-rest-api/releases 下载预编译的 burp-rest-api 最新版本。虽然这听起来可能不是什么大事，但它实际上是插件引导机制重大变化的结果。到目前为止，burp-rest-api 严格依赖原始的 Burp Suite JAR 进行编译，因此由于许可问题，我们无法创建稳定的发布版本。通过重新设计 burp-rest-api 的启动方式，现在甚至可以在没有 burpsuite_pro.jar 的情况下构建扩展。

1
2
3

git clone git@github.com:vmware/burp-rest-api.git
cd burp-rest-api
./gradlew clean build

构建完成后，您现在可以使用以下命令执行带有 burp-rest-api 扩展的 Burp：

1

java -jar burp-rest-api-2.0.0.jar --burp.jar=./lib/burpsuite_pro.jar

Burp 扩展和 BAppStore

许多用户要求在运行带有 burp-rest-api 的 Burp 时能够加载其他扩展。得益于新的引导机制，burp-rest-api 作为第二代扩展加载，这使得可以加载用任何支持编程语言编写的自定义和 BAppStore 扩展。

此外，该工具允许在应用程序启动时使用标志 --burp.ext=<filename.{jar,rb,py}> 加载扩展。

为了实现这一点，我们采用了一种类加载技术，使用一个虚拟入口点（BurpExtender.java），在完整的 Burp Suite 加载并启动（BurpService.java）后加载传统的 Burp 扩展（LegacyBurpExtension.java）。

错误修复和改进

在此版本中，我们还专注于大量问题的清理：

• 更好的文档甚至常见问题解答页面
• Burp Spider 状态 API
• 带有 configPath 选择 API 的 Burp 配置
• 启用了 SpringBoot 压缩
• 通过命令行参数自定义 Burp Proxy 和 burp-rest-api API 的绑定地址和端口的能力
• ……以及更多

帮助我们塑造 burp-rest-api 的未来

随着 Burp Suite Professional 2.0（测试版）的发布，Burp 包含了原生 Rest API。

虽然当前功能非常有限，但这肯定会改变。

在初始版本中，REST API 支持启动漏洞扫描并获取结果。随着时间的推移，更多功能将被添加到 REST API 中。

Burp 用户最终将受益于原生 Rest API，这很棒，然而这个新功能让我们对这个项目的未来产生了思考。

感谢您的支持，

Luca Carettoni & Andrea Brancaleoni