点击上方「蓝字」，关注我们
免责声明
文章正文
攻防演练过程中，我们通常会用浏览器访问一些资产，但很多未授权/敏感信息/越权隐匿在已访问接口过html、JS文件等，通过该Burp插件我们可以：1、发现通过某接口可以进行未授权/越权获取到所有的账号密码、私钥、凭证 2、发现通过某接口可以枚举用户信息、密码修改、用户创建接口 3、发现登陆后台网址 4、发现在html、JS中泄漏账号密码或者云主机的Access Key和SecretKey ...
功能如下
如果有更好的建议或者期待使用的，点个免费的Star
-
• 提取网站的URL链接和解析JS文件中的URL链接
-
• 前段界面可自行定义铭感关键词、敏感url匹配
-
• 界面可配置的开启主动接口探测、铭感信息获取
-
• 集成主流攻防场景敏感信息泄漏的指纹库
![burp插件-发现未授权-敏感信息-越权-登陆接口]( "burp插件-发现未授权-敏感信息-越权-登陆接口")
-
• 集成HaE的敏感信息识别指纹
![burp插件-发现未授权-敏感信息-越权-登陆接口]( "burp插件-发现未授权-敏感信息-越权-登陆接口")
-
• 集成APIKit的敏感信息识别指纹
![burp插件-发现未授权-敏感信息-越权-登陆接口]( "burp插件-发现未授权-敏感信息-越权-登陆接口")
-
• 集成sweetPotato的敏感信息识别指纹
![burp插件-发现未授权-敏感信息-越权-登陆接口]( "burp插件-发现未授权-敏感信息-越权-登陆接口")
回复关键字【240501】领取工具
知识星球
高质量漏洞利用工具、最新漏洞POC/EXP分享社区，日常更新一个0Day/Nday/1day及对应漏洞的批量利用工具，内部POC分享，星球不定时更新内外网攻防渗透技巧等。分享行业最新资讯，交流解答各类技术问题。
-
Fofa永久高级会员，助力挖洞 -
常态化更新最新的漏洞POC/EXP -
常态化更新未公开、半公开漏洞POC -
常态化更新优质外网打点、内网渗透工具 -
常态化更新安全资讯 -
开放交流环境，解决成员问题
点个「在看」，你最好看
原文始发于微信公众号（安全之眼SecEye）：burp插件-发现未授权-敏感信息-越权-登陆接口
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论