Тема
Получение и обработка HTTP-трафика
Автоматический сбор
Плагин наблюдает HTTP-трафик Proxy и Repeater. В обычном режиме автоматически отправляются запросы в Burp scope с поддерживаемыми текстовыми/структурированными ответами. Отправка выполняется асинхронно через ограниченную очередь и не блокирует обработку трафика Burp.
Явная загрузка и связь с наблюдением
Действие «Загрузить запрос» отправляет выбранный HTTP-обмен в бэкенд независимо от автоматического фильтра. Оно подходит для единичного запроса, нестандартного источника или содержимого, которое пользователь хочет сохранить принудительно.
Действие «Скопировать ссылки»:
- загружает выбранные обмены, если это необходимо;
- сохраняет их внутренние идентификаторы во временном буфере плагина;
- делает доступным действие «Вставить ссылки» в меню наблюдения.
«Вставить ссылки» прикрепляет запросы из буфера к выбранным наблюдениям. После этого каждый обмен появляется отдельной HTTP-вкладкой в деталях наблюдения и сохраняется как его доказательство.
Что извлекается из запросов и ответов
Бэкенд структурирует весь HTTP-запрос, а не только URL. URL разделяется на origin, path и query, а из тела в зависимости от Content-Type извлекаются вложенные параметры. Для каждого параметра сохраняются имя/путь в объекте, значение, тип, порядок и источник (QUERY, PATH или BODY). Поддерживаются:
| Формат | Результат разбора |
|---|---|
| URL/query | Отдельные параметры с именами, значениями и порядком. |
| Path | Переменные сегменты могут стать параметрами API. |
application/x-www-form-urlencoded | Поля формы становятся body-параметрами. |
| JSON | Вложенные объекты и массивы превращаются в адресуемые параметры; сохраняются типы значений. |
| GraphQL в JSON | Выделяются операции, аргументы, variables, поля выборки и фрагменты. |
| XML | Выделяются элементы, атрибуты, повторяющиеся узлы, текст и CDATA. |
multipart/form-data | Обычные поля отделяются от файловых частей. |
Из HTML и JavaScript выделяются комментарии, строки и чувствительные конструкции с привязкой к месту в исходнике. Из JSON и XML извлекаются значения и структурные имена. Это даёт наблюдения и строки даже для данных, которые не видны как обычный текст страницы.
Деобфускация ответа вне Burp
WebVulnFinder поддерживает ручной внешний этап преобразования ответа:
- выбрать сохраненный или текущий HTTP-обмен;
- выполнить «Выгрузить ответ в файл» и сохранить исходник в файл;
- деобфуцировать, отформатировать, распаковать или иным образом нормализовать содержимое внешним инструментом;
- на исходном HTTP-обмене выбрать «Использовать деобфуцированный ответ»;
- указать файл с преобразованным телом.
Плагин создает новый HTTP-обмен: запрос, статус и заголовки ответа сохраняются, а body заменяется содержимым выбранного файла. Исходный обмен не перезаписывается. Новый обмен принудительно загружается в бэкенд и его идентификатор помещается в буфер ссылок.
После загрузки бэкенд обрабатывает нормализованный ответ обычным конвейером. В результате строки, комментарии, sensitive JavaScript, API и другие наблюдения фиксируются уже над читаемым содержимым. Новый обмен можно сразу прикрепить к нужному наблюдению через «Вставить ссылки», сохранив одновременно исходное и нормализованное доказательства.
