本文作者：whwlsfb，转自Whwlsfb\'s Tech Blog项目地址：https://github.com/whwlsfb/BurpCrypto
BurpCrypto
在Web渗透测试中有一个关键的测试项：密码爆破。
目前越来越多的网站系统在登录接口中加入各式各样的加密算法，依赖于BurpSuite中的那些编码方式、Hash算法已经远远不够，这里给大家介绍一款支持AES/RSA/DES加密算法，甚至可以直接将加密算法的Javascript脚本运行与BurpSuite中的插件：BurpCrypto。
安装
下载已编译好的版本，或下载源代码本地编译，然后在BurpSuite的扩展列表中添加插件即可。
使用方法
BurpCrypto安装完成后会在BurpSuite中添加一个名为BurpCrypto的选项卡，打开选项卡可进入不同加密方式的具体设置界面。
此处以AES加密为例：
AES加密
常见的加密插件往往只提供一个Processor，该插件设计了多Processor功能，可以添加多个Processor，以便于同时运行多个不同加密方式、不同密钥的测试器。
在测试器中选择刚刚创建的Processor
下面直接点击Start Attack即可。
找的密文对应的明文
BurpSuite中有一个饱受诟病的问题，在测试器的测试结果中，无法显示原始Payloadmd5在线工具，也就是字典内容。
该插件内置LevelDb数据库功能，只要是通过该插件生成的密文内容，都可以使用插件中提供的“Get PlainText”功能找回原始Payload。
ExecJs功能
该插件对于不支持的加密算法也提供了一种类似著名插件jsEncrypter的变通方法，使用者可根据不同网站使用的加密方法提取其加密的核心函数，并将核心函数稍作加工即可加入本插件中使用。区别于jsEncrypter，本插件不需要依赖其他任何第三方工具，JS代码将直接在插件内部使用(因JS代码的兼容性问题，已在0.1.4版本中切换至内嵌的Rhino第三方引擎，另外在0.1.9版本中加入了多引擎切换功能)中运行。
因为Java内置的JavaScript不包含浏览器中的window、document、console等API，不过好在此类组件一般不会对加密的核心功能造成影响，但是还是需要将调用此类组件的相关代码进行删除或者调整。
此处演示使用的是某网站使用的特殊版本的MD5算法。
以该加密函数为例，该加密函数需实例化md5Code类后调用其getValue函数，而本插件仅支持单参数的函数调用，于是需要编写一个中间函数calcmd5在线工具，将核心加密函数直接暴露出来供插件调用。
此处填写需要让插件调用的加密函数的函数名称，在这个例子中就是calc函数。
然后像AES模块一样添加Processor即可，使用方式也与AES模块类似
网盘下载地址
1. 想看详细教程请在网站注册登录后按“立即下载”按钮下载查看！（请注意：购买年度会员和永久会员免费下载观看）
2. 查看教程方法：手机版在底部按钮下载查看，网页版在右边侧栏下载查看
⇒⇒⇒⇒⇒⇒⇒⇒⇒⇒
3. 限时特惠：本站每日持续更新海量各大内部创业教程，一年会员只需198元（开通请点击右上角头像个人中心开通），全站资源免费下载 点我查看详情
-----------------------------------------郑重声明：：
1. 本站所分享资料部分来自互联网公开渠道获取，仅供会员学习交流使用，请于24小时内删除，尊重原作者及出版方，如认为本站有使用不当的地方，或侵犯了您的权益，请联系本站工作人员，我们会及时删除。
2. 本教程收集于其他付费资源平台，仅作资源分享学习使用，不提供任何的一对一教学指导，不提供任何收益保障，具体请自行分辨测试，如遇充值环节或绑定支付账户或输入支付密码之类的异常步骤，建议停止操作，是否有风险请自行甄别，本站概不负责！
3. 有的教程如果出现无法下载或者无内容说明链接失效了，请及时联系站长进行免费处理售后。
4. 切记！课程内如含有其他联系方式引导你付费的请注意慎重考虑，以免被割韭菜！
×