避免错过隐蔽资产，burpsuite识别网站指纹

概述

burpsuite插件：BurpFingerPrint
下载地址：

https://github.com/shuanx/BurpFingerPrint

攻击过程中，我们通常会用浏览器访问一些资产，该BurpSuite插件实现被动指纹识别+网站提取链接+OA爆破，可帮助我们发现更多资产。

原理

BurpFingerPrint插件识别经过burpsuite的数据包，匹配响应包当中的关键词，从而识别网站。
实现原理类似于Ehole。
Ehole虽然好用，但也有一定的局限性，比如只会匹配我们存放的URL，而不会发送多余的URL，这个的好处是不会触发waf，坏处是可能遗漏隐藏的资产。如果把每个可以请求到的URL都下载下来让EHole请求，这个工作量很大，遇到需要凭证才会返回有效信息的URL的效果就不好。

BurpFingerPrint 比Ehole更加灵活，可以在测试资产的时候进行识别，避免遗漏。

工具应用

插件作者已集成Ehole指纹识别库，如果有未在其中的指纹，可以通过如下按钮新增。

我访问一个URL后，会自动匹配关键词

可知该资产是致远资产

 

原文始发于微信公众号（进击的HACK）：避免错过隐蔽资产，burpsuite识别网站指纹