Burp 扩展是什么
Burp Suite 通过扩展扩充能力面：被动扫描、参数分析、流量留存、接口枚举等常由社区插件补足。扩展以完整权限运行在 Burp 进程内，能够读取甚至改写所有经过代理的流量，因此来源与版本管理本身就是项目风险管理的一部分，而不是可选的整理工作。
基本信息
| 运行形态 | Burp Suite Community / Professional |
|---|---|
| 加载入口 | Extender → BApp Store；手工 jar 走 Extensions → Add |
| 分发格式 | .jar / .bapp 包 / Python 脚本 |
| 登记字段 | 名称、版本、来源链接、用途、评审人 |
| 权限影响 | 可读取全部代理流量，含 Cookie 与令牌 |
典型使用场景
- 被动记录流量：评估过程中持续留存请求响应，便于回溯
- 接口参数分析：批量比对同类请求，找越权与参数污染线索
- 认证测试：对令牌、会话与重放场景做集中处理
- 结果导出：把流量整理成可用于报告的复现材料
- 团队统一：多人协作时固定插件清单以保持结果可比
安装与登记要点
安装与登记要点
Extender → BApp Store：按名称安装（如 Logger++） # 首选渠道
Extender → Extensions → Add → 选择 jar # 仅限官方仓库来源
记录模板：名称 / 版本 / 来源链接 / 用途 / 评审人 # 入项目清单
统一版本：团队成员按清单核对后再开始测试
移除：评估结束卸载非必需扩展，减少数据驻留风险核对与处置
| 风险点 | 表现 | 处置 |
|---|---|---|
| 来源不明 | 论坛或网盘下载的 jar | 不加载：无法确认是否外发流量 |
| 隐式外联 | 扩展内置统计或云同步接口 | 抓包确认外联域名，禁止放行未知目标 |
| 版本不一致 | 成员间结果出现差异 | 按清单对齐版本并在报告中注明 |
| 扩展残留 | 评估结束后仍加载 | 卸载并清理其缓存文件 |
来历不明的 jar 可能把测试数据（含 Cookie、令牌）转发到第三方：生产评估中一律禁用，手工加载前先评审源码或反编译结果。
BApp Store 的插件经过官方审核，但审核不等于零风险；对会读取流量并具备外联能力的插件，仍要确认其用途与数据流向。