BitTraversal: 使用 Burp Suite 插件检测目录遍历漏洞

简介：
本文介绍了一款名为BitTraversal的Burp Suite插件，专门用于自动化检测Web应用中的目录遍历漏洞，提高安全测试效率。 BitTraversal-开发中的安装要求如下： - BurpSuite 版本 >= 1.7 - JVM 运行环境版本 >= 1.8 从 GitHub 安装步骤：下载最新版本，使用 burpsuite 导航到 Extender > Add ，选择下载的 .jar 文件。 核心理念是利用 Mutator 对通过 burpsuite 观察到的所有请求（如代理、转发器和扫描仪）进行操作。Mutator 会生成大量潜在的 URL，并为 Executor 和 Detector 类附加有效负载，以检测是否成功应用了某种技术来识别目录遍历漏洞。 该插件主要采用两种方法来进行目录遍历漏洞的探测： - 静态检测：使用预定义的有效载荷（这些将在运行时从 GitHub 获取），并在匹配后执行。 - 动态检测：仍在开发中，目的是通过比较请求 /static/css/main.css 和 /static/../static/css/main.css 的响应来识别目录遍历漏洞。