WebVulnFinder

WebVulnFinder — проектно-ориентированная рабочая среда для легального black-box тестирования веб-приложений, встроенная в Burp Suite. Она превращает HTTP-трафик в пополняемую модель исследуемого приложения и объединяет ручное исследование, воспроизводимые автоматические проверки и ИИ-помощника.

Что даёт продукт

WebVulnFinder помогает вести управляемый веб-пентест в согласованной области тестирования и сохранять воспроизводимые HTTP-доказательства. Запросы, API, параметры, сессии, наблюдения, обнаруженные строки и результаты тестов собираются в единую базу знаний, которую используют специалист, автоматические проверки и ИИ.

Основные возможности:

• накопление и связывание знаний о веб-приложении по мере исследования трафика;
• анализ HTTP-структуры, метаданных и содержимого HTML, JavaScript, JSON и XML с созданием наблюдений и категоризацией найденных строк;
• генерация и выполнение контролируемых проверок, включая многошаговые сценарии, с сохранением исходных запросов и полученных ответов;
• формирование рекомендаций с подтверждающими данными, которые пользователь принимает или отклоняет;
• единые проектные списки для ручной работы, автоматических проверок, Intruder и ИИ-анализа;
• захват и проверка сессий, в том числе значений объектов для межсессионных проверок;
• пользовательские ИИ-задачи для повторяющихся гипотез, произвольный диалог и специализированные ИИ-утилиты;
• профили подключения моделей, ограничения их инструментов и вызовов, проектный системный промт и маскирование секретов;
• правила технологий для разных областей приложения, сокращающие неприменимые проверки;
• сохранение и экспорт результатов для повторной проверки и совместной работы.

ИИ-помощник на любом этапе анализа

ИИ в WebVulnFinder — помощник, которого можно подключить на любом этапе анализа: для разбора отдельного наблюдения, обобщения результатов проверок, исследования API, проверки гипотез и подготовки рекомендаций.

Для подключения модели можно использовать OpenAI API с индивидуальным API-ключом или Codex с активной ChatGPT/Codex-сессией. Таким образом, AI-задачи работают как через API, так и через Codex в рамках подписной модели.

Для каждой задачи продукт готовит целевой контекст и предоставляет модели только необходимые специализированные инструменты. Модель получает именно те данные, которые нужны для текущего шага. Это снижает долю нерелевантной информации, помогает укладываться в небольшое контекстное окно и уменьшает риск галлюцинаций.

Пользователь выбирает профиль модели и пределы её действий, видит ход работы ИИ и проверяет собранные доказательства. Повторяющиеся инструкции можно сохранить как пользовательскую ИИ-задачу с собственным сообщением, фильтром наблюдений и набором инструментов. Подробнее — в главах «Настройка ИИ» и «AI-задачи»; последовательность исследования показана в общем цикле работы.

Состав продукта

Продукт состоит из двух связанных частей:

• расширение Burp Suite — пользовательский интерфейс, сбор трафика, ручные действия, генерация и выполнение проверок, работа с ИИ-помощником;
• серверная часть — долговременное хранение данных проекта, разбор HTTP-данных, автоматическое создание и объединение наблюдений, категоризация строк и предоставление общих выборок.

Локализация

Все пользовательские сообщения и элементы интерфейса WebVulnFinder работают через единый механизм локализации. Из коробки доступны русский и английский языки; нужная локаль выбирается по языку среды. Механизм не ограничен этими двумя языками и позволяет добавлять любое количество дополнительных локалей.