基于 burpsuite的web逻辑漏洞插件开发

BurpSuite 提供了插件开发接口，支持Java、Python、Ruby语言的扩展。虽然 BApp Store 上面已经提供了很多插件，其中也不乏优秀好用的插件。

推荐几个个人感觉好的插件CO2,Logger++,Autorize,XSS Validator

但是通用化的工具无法完全符合web安全测试人员的特定需求。
本节我和大家探讨，如何根据实际需求自己开发出提高安全测试效率的插件。
本次课程主要是从以下四个方面展开

1.为什么要独立开发插件

随着厂商安全意识增强，传输过程中，大多数线上业务通过https传输，传输流量加密。无法做中间人攻击了就服务端，数据库中的敏感数据加密存储，访问控制受限，即使拿到数据库也无法拿到明文数据。但是数据在客户端最终要展示给用户，必然明文展现。

传统的安全防御设备和措施对逻辑漏洞收效甚微，现在攻击者更倾向于在客户端利用此类漏洞。而逻辑漏洞种类很多，通用化的工具无法完全符合web安全测试人员的特定需求。一个业务的逻辑漏洞抽象出来的模型，难以在其他业务层进行批量处理，通用的解决方案往往效果不佳。（但是一个业务层抽象出来的模型，在其自身站点往往具有通用性。）

例如，某URL存在越权，可能该站点其他URL也可能存在类似的问题。我们基于该URL特征，开发burpsuite插件，批量扫描该站点，就能更全面的发现同类问题。

2. 开发环境配置

Burp支持Java、Python、Ruby语言的扩展，本次讲座以python环境为例进行说明。Burpsuite 是运行在java环境，所有的库是java所写。Python作为开发语言，调用Java库就要用到Jython。

Burpsuite Jython环境的配置

Extender -> options -> python Environment -> select file,导入下载好的jython jar包。

3.插件开发关键接口的使用实例

API接口查阅可以从以下拿到：
API接口文档可以在burpsuite 的Extender -> APIs
也可以通过https://portswigger.net/burp/extender/api/index.html进行查阅。

IBurpExtender
IBurpExtender是Burpsuite插件的入口，所有插件的开发都必须要实现。当插件被建立以后，registerExtenderCallbacks也需要实现。

代码如下：class BurpExtender(IBurpExtender):
def registerExtenderCallbacks(self, callbacks):

参数callbacks可获取核心基础库,例如日志，请求，返回值修改等。IBurpExtenderCallbacks: 这个接口几乎是必备的。在插件编写的过程中会经常用到。

IExtensionHelpers:
提供了编写扩展中常用的一些通用函数，比如编解码、构造请求、获取请求参数，获取请求头等。如：IRequestInfo analyzeRequest(byte[] request)
通过analyzeRequest函数，可以拿到请求的细节。

通过如下几个接口方法可以拿到

IHttpRequestResponse: 这个接口包含了每个请求和响应的细节。在Brupsuite中的每个请求或者响应都是IHttpRequestResponse实例。通过getRequest()， getResponse()方法可以获取请求和响应的细节信息。

以registerHttpListener为例进行代码说明：

如图所示，在user 和 webserver之间建立监听，调用HttpListener接口。获取请求，响应的日志。

实现这个功能，最重要的是这个方法：
# register ourselves as an HTTP listener
callbacks.registerHttpListener(self)

def registerExtenderCallbacks(self, callbacks):

self._callbacks = callbacks
        self._helpers = callbacks.getHelpers()
        ## 设置插件名
        self._callbacks.setExtensionName("getTheRequest")

# //如果没有注册，下面的processHttpMessage方法是不会生效的。处理请求和响应包的插件，这个应该是必要的

callbacks.registerHttpListener(self)

### processHttpMessage(int toolFlag, boolean messageIsRequest, IHttpRequestResponse messageInfo)，
### 在messageInfo这个参数中，我们可以获取到request和response日志。

def processHttpMessage(self, toolFlag, messageIsRequest, messageInfo):
        if toolFlag == 4:
            if not messageIsRequest:
                request = messageInfo.getRequest()
                analyzedRequest = self._helpers.analyzeResponse(request)
                request_header = analyzedRequest.getHeaders()

try:
                    method, path = res_path.findall(request_header[0])[0]
                    host = res_host.findall(request_header[1])[0]
                    url = method + " " + host + path
                except:
                    url = ""

if method == "GET":
                    print “[+++++]The URL is ", url
                    print "[+++++]The host is ",host
                    print "[++++] The URI is following"
                    print path
                    for iterm in path.split("/"):
                        print iterm
                    print

代码如上所示，就可以打印出URL，HOST，URI日志信息

如果做扫描类插件：
class BurpExtender(IBurpExtender,IScannerCheck)
callbacks.registerScannerCheck(this);

实现IScannerCheck后需要重写被动扫描的函数。
doPassiveScan(IHttpRequestResponse baseRequestResponse) {}

doPassiveScan这个接口，在baseRequestResponse获取请求和响应数据，并利用这些数据进行基于扫描规则进行扫描。

逻辑漏洞检测插件开发探讨

这个插件实现的基本功能是：确定哪些cookie有效cookie，可以基于这些URL，生成字典，进行目录爆破

首先，我们需要拿到requests 的 cookie

request = messageInfo.getRequest()
analyzedRequest = self._helpers.analyzeResponse(request)
requestHeaders = analyzedRequest.getHeaders()

newHeaders = dict()
cookies = dict()

for header in requestHeaders:
header = header.encode('utf-8')
if "HTTP/" not in header and "Host" not in header and "Cookie" not in header:

header_item = header.split(": ")
newHeaders[header_item[0]] = ": ".join(header_item[1:])

if header.lower().startswith("cookie"):

rawCookie = header.strip("Cookie: ")

for item_cookie in rawCookie.split("; "):
                        key = item_cookie.split("=")[0]
                        value = "=".join(item_cookie.split("=")[1:])
                        cookies[key] = value
                lengthList = {}
                for key,value in cookies.items():
                    tempcookie = {}
                    tempcookie[key] = value
                    response = requests.get(url,headers=newHeaders,cookies=tempcookie,verify=False)
                    lengthList[key] = len(response.content)
                if lengthList.keys():
                    print url
                    print lengthList
根据响应长度的不同确定哪些cookie是有效cookie

针对DES，AES加密参数的逻辑漏洞挖掘：

AES，DES属于对称加密，所以客户端和服务器端都会有秘钥存在，也就是说密钥在客户端肯定能找到。网页，微信小程序中，往往在js代码中就能找到，找到密钥即可进行逻辑漏洞测试。

在一次对微信小程序渗透测试中，抓包发现订单ID参数以密文形式进行传输。因此，我们需要获取加密方法。通过反编译微信小程序包，发现了密钥，加密方法是DES加密。
这是在一次渗透测试过程中获取DES秘钥的截图；

昨天分享了一下，今题讲一些插件的tips

## 代码编写获取订单ID密文。

在burpsuite测试过程：
由于是对订单ID加密，我们先遍历明文ID，再对明文Id进行加密，生成字典。再利用burp 的爆破插件，进行爆破即可。

tips:遇到参数加密的情况并不可怕，既然是对称加密，秘钥一定能在客户端拿到。对js代码进行分析，往往就可以获取到秘钥。

# 对消息体进行解析
analyzeRequest= helpers.analyzeRequest(messageInfo);
# 获取请求头
headers= analyzeRequest.getHeaders()
# 获取参数列表
paraList= analyzeRequest.getParameters();#获取参数列表，参数分为三种类型，URL中的参数，cookie中的参数，body中的参数。

for para in paraList:
# 这里可以考虑对加密参数进行筛选
key= para.getName() # 获取参数名
value= para.getValue() # 获取参数
aesValue = aes.encrypt(value);
aesValue = URLEncoder.encode(aesvalue);

遍历参数，可以对参数名进行过滤，处理需要加密的参数

newPara= helpers.buildParameter(key, aesValue, para.getType()); #构造新的参数
updateRequest = helpers.updateParameter(new_Request, newPara); #构造新的请求包
messageInfo.setRequest(updateRequest);//设置最终新的请求包

//如果作为插件开发的话，只需要更改AES秘钥即可。