AI导哈

Burp Suite MCP 服务器

一个用于与Burp Suite Professional的REST API集成的模型上下文协议（MCP）服务器，使AI助手能够通过Burp Suite进行Web应用程序安全测试。

  • by schwarztim
  • JavaScript
  • 本地部署
  • 更新于
在 GitHub 查看 schwarztim/sec-burpsuite-mcp

使用说明

Burp Suite MCP服务器

A. 模型上下文协议（MCP） 用于与Burp Suite Professional的REST API集成的服务器。该服务器使AI助手能够通过Burp Suite执行web应用程序安全测试。

特性

  • 主动扫描 -启动、暂停、恢复和监视漏洞扫描
  • 问题检测 -列出并分析发现的安全漏洞
  • 网站地图探索 -查看发现的URL和应用程序结构
  • 代理历史记录 -访问所有截获的HTTP请求/响应
  • 蜘蛛/爬行器 -自动内容发现
  • 中继器/入侵者 -向Burp的手动测试工具发送请求
  • 范围管理 -以编程方式控制目标范围
  • 状态管理 -导出/重置项目状态

先决条件

  • Burp Suite 专业版 启用REST API
  • Node.js 18岁或以上

启用Burp Suite REST API

  1. Open Burp Suite专业版
  2. 首选 设置 > 套件 > REST API
  3. 检查 “服务正在运行”
  4. 配置端口（默认值： 1337)
  5. 可选择创建用于身份验证的API密钥

安装

来源

git clone https://github.com/schwarztim/sec-burpsuite-mcp.git
cd sec-burpsuite-mcp
npm install
npm run build

NPM（即将推出）

npm install -g burpsuite-mcp

配置

环境变量

变量 描述 默认值
BURP_URL Burp Suite REST API URL http://127.0.0.1:1337
BURP_API_KEY API密钥（如果在Burp中配置） -
BURP_TIMEOUT 请求超时（毫秒） 30000

Claude桌面配置

添加到您的 ~/.claude/user-mcps.json:

{
  "mcpServers": {
    "burpsuite": {
      "command": "node",
      "args": ["/path/to/sec-burpsuite-mcp/dist/index.js"],
      "env": {
        "BURP_URL": "http://127.0.0.1:1337",
        "BURP_API_KEY": "your-api-key-if-configured"
      }
    }
  }
}

可用工具

健康和状态

工具 说明
burp_health_check 检查Burp REST API是否可访问
burp_get_version 获取Burp Suite版本信息

扫描

工具 说明
burp_scan_start 启动主动漏洞扫描
burp_scan_status 获取扫描进度和状态
burp_scan_pause 暂停当前扫描
burp_scan_resume 恢复暂停的扫描

漏洞检测

工具 说明
burp_issues_list 列出所有发现的漏洞
burp_issue_definitions 获取Burp的问题类型知识库

目标和范围

工具 说明
burp_sitemap_get 获取已发现内容的站点地图
burp_scope_add 将URL添加到目标范围
burp_scope_remove 从目标范围中删除URL
burp_scope_check 检查URL是否在作用域内

代理历史记录

工具 说明
burp_proxy_history 获取所有代理历史记录项
burp_proxy_history_item 获取特定历史项目详细信息

蜘蛛/爬行器

工具 说明
burp_spider_start 启动内容发现爬虫
burp_spider_status 获取爬虫状态

手动测试工具

工具 说明
burp_send_to_repeater 向中继器工具发送请求
burp_send_to_intruder 向入侵者工具发送请求
burp_send_http_request 通过Burp发送HTTP请求

状态管理

工具 说明
burp_export_state 将项目状态导出到文件
burp_reset_state 清除所有打嗝状态
burp_shutdown 关闭Burp Suite

使用示例

基本安全扫描

User: Scan https://testapp.example.com for vulnerabilities

AI Assistant will:
1. Call burp_scan_start with url: "https://testapp.example.com"
2. Monitor progress with burp_scan_status
3. Retrieve findings with burp_issues_list

探索应用程序结构

User: Show me what endpoints have been discovered on example.com

AI Assistant will:
1. Call burp_sitemap_get with urlPrefix: "https://example.com"
2. Present the discovered URLs and resources

查看代理流量

User: Show me the recent HTTP requests through Burp

AI Assistant will:
1. Call burp_proxy_history with limit: 20
2. Display request/response summaries

API兼容性

此MCP服务器支持多种Burp Suite API实现：

  • Burp Suite 专业版 内置REST API（默认端口1337）
  • VMware打嗝休息api 扩展（默认端口8090）

客户端自动适应可用的API格式。

安全考虑

  • 需要授权：仅用于您有权测试的应用程序
  • API密钥：在Burp Suite中配置API密钥以获得额外的安全性
  • 网络隔离：考虑在隔离环境中运行Burp Suite
  • 敏感数据：代理历史记录可能包含凭据和敏感信息

故障排除

无法连接到Burp Suite

  1. 验证Burp Suite Professional是否正在运行
  2. 在“设置”>“套件”>“REST API”中检查是否启用REST API
  3. 确认端口与您的 BURP_URL 配置
  4. 如果远程连接，请检查防火墙规则

API密钥身份验证失败

  1. 在Burp Suite REST API设置中生成新的API密钥
  2. 更新 BURP_API_KEY 环境变量
  3. 重新启动MCP服务器

扫描未启动

  1. 验证目标URL是否可访问
  2. 检查URL是否在目标范围内（使用 burp_scope_add 第一）
  3. 确保当前没有其他扫描正在运行

相关资源

贡献

欢迎投稿！请随时提交拉取请求。

许可证

MIT许可证-请参阅 许可证 了解详情。

免责声明

此工具仅用于授权的安全测试。在测试任何系统之前，始终获得适当的授权。作者不对误用此软件负责。

相关 MCP