首页/安全/渗透测试与安全评估速查/Burp 扩展选择与来源核查
工具使用要点60 条

Burp 扩展选择与来源核查

扩展扩展了 Burp 的能力面:只从 BApp Store 或官方仓库安装,登记名称与版本;加载第三方代码前评估其数据访问与外发行为。

渠道BApp Store / 官方仓库
留档名称 + 版本 + 来源链接
评估是否外发流量、是否读取凭据
动作不活跃或来源不明的扩展不用

安装与记录要点

安装与记录要点
Extender → BApp Store:按名称安装(如 Logger++)
手工 jar:Extender → Extensions → Add → 选择 jar
记录模板:名称 / 版本 / 来源 / 用途 / 评审人
移除:评估结束卸载非必需扩展
来历不明的 jar 可能外传测试数据(含 Cookie):生产评估禁用。

易错点

  • 安装了会外发流量的扩展
  • 成员间插件版本不一致导致结果差异

数据来源与参考

  • PortSwigger 官方文档(BApp Store)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌