自动解密被加密的报文,让你像测试明文一样简单
Download |
FAQ |
Issue
场景
- 越来越多的网站对HTTP请求&响应做了加密/加签,这导致想要修改明文请求/响应非常不方便
- 已有项目在面对加密&加签同时存在、加密算法组合等情况时不够用,自行编写hook脚本难度大、效率低
效果
- 启用成功后,后续代理的所有请求和响应自动解密
- 已解密请求转到Repeater后Send,得到的响应也会被解密
- Intruder、Scanner等模块同样支持
已包含多种加解密场景的hook脚本,对于常规算法及逻辑可以做到开箱即用。
进一步了解:Http Hook
- Parse Swagger Api Doc: 解析swagger文档,生成所有URL的请求,并带入参数、路径、描述。
- Bypass Host Check: 绕过服务端在csrf/ssrf的测试点对host做了验证。
- Bypass Auth Of Path: 通过修改Path的方式绕过某些认证/鉴权/拦截。
- ...
插件下载:Download
插件安装:Extensions -> Add -> Select File -> Next
自行构建:build.gradle -> shadowJar
注意事项:
- 项目采用Burp
Montoya API
开发,Burp版本不低于v2023.10.3.7
。 Update - 项目使用JDK 17进行开发及编译,请确保启动Burp的JDK不低于17。 Update
- 项目使用了动态编译,请确保启动Burp的是JDK,而不是JRE。Modify
- 如果你下载或打包后的jar包含
without-jython
字样,请在Burp的Java environment(Settings -> Extensions
)配置一个文件夹,并将jython-standalone-xxx.jar
放在该文件夹。Download
- 简单高效:不需要启动多余的本地服务。
- 上手容易:通用算法及常见加密逻辑已内置,基本能做到开箱即用。
- 支持面广:如加密算法组合、自定义算法、动态密钥等均可以支持。
- 强灵活性:可以使用python、js、Java、grpc多种方式实现hook脚本以满足需求。
star越多,更新越快。
- 支持配合桌面扫描器一起使用,使得扫描器可以扫描明文请求并得到明文响应。
- 提出在涉及非对称加密(不已知私钥)下的使用方法。
- 联动jsrpc、frida等
如果你发现BUG或有好的建议,欢迎在GitHub上提Issue或扫描群二维码进群交流。
群二维码失效扫描添加微信并备注 Galaxy
。