轉載：http://www.mottoin.com/90188.html
0x00 前言
Burp Suite 是用於攻擊web 應用程序的集成平台。它包含了許多工具，並為這些工具設計了許多接口，以促進加快攻擊應用程序的過程。所有的工具都共享一個能處理並顯示HTTP 消息，持久性，認證，代理，日志，警報的一個強大的可擴展的框架。
無論是收費版還是免費版，Burp Suite 這個軟件都提供了一定數量的插件，這些插件極大的方便了我們平時的滲透工作。在BAPP Store中有很多開發好的插件代碼，可以下載下來，安裝后，在指定的目錄下面會有相應的python代碼或者jar包存在，這些都是很好的學習代碼，推薦幾個比較好用的插件：
0x01 AuthMatrix
AuthMatrix是一款用於檢測越權漏洞的Burp Suite插件，設置好session就能進行自動化測試。
項目主頁：https://github.com/SecurityInnovation/AuthMatrix
相似功能的插件還有：Authz。Authz會先訪問一遍接口抓包，然后“Send request(s) to Authz”，設置低權限的cookie，“Run”就會使用低權限的cookie去請求，結果會匹配給出相似度百分比，可以查看每個請求的詳細。半自動測試。
0x02 J2EEScan
J2EEScan是一個基於Web安全掃描套件Burp Suite Proxy的插件， 增加了針對J2EE應用的安全掃描測試項目。它增加了一些新的測試用例和新策略去發現不同的J2EE安全漏洞。
項目主頁：https://github.com/ilmila/J2EEScan
0x03 activeScan++
該插件主要是在主動掃描和被動掃描時，為了增強掃描漏洞效果。增加了一些本身自動化掃描沒有的漏洞檢查。
項目主頁：https://github.com/albinowax/ActiveScanPlusPlus
0x04 LFI scanner checks
LFI scanner checks是國人為burp輕量級掃描器做的一個檢測LFI漏洞插件。
鏈接: http://pan.baidu.com/s/1cqW4VG 密碼: 6y1d
0x05 BypassWAF
我們在滲透測試有時遇到WAF（應用層防火牆），這往往令人頭疼。Burp Suite是響當當的web應用程序滲透測試集成平台，而這款插件可以幫助你繞過某些WAF。
未來功能：
- 自動在GET/POST實現HPP攻擊測試
- 自動進行HTTP Request Smuggling攻擊
項目主頁：https://github.com/codewatchorg/bypasswaf
0x06 s1riu5TheFloor
burpsuite和sqlmap是滲透測試中最常用到的兩大神器。最常用的功能是利用burpsuite攔截http請求，然后用sqlmap的r參數讀取。s1riu5TheFloor就是一款聯動burpsuite和sqlmap的插件。
缺點：適用於Mac，沒做跨平台適配
項目主頁：https://github.com/5ir1us/Tarot/tree/master/s1riu5TheFloor
相似功能的插件還有CO2。該插件包含諸多功能，如SQLMapper、User Generator、Prettier JS、ASCII Payload Processo、Masher 等功能。但是調用的不是sqlmap的r參數，而是u參數，無法實現對http請求的全部利用。
0x07 BurpKit
插件BurpKit提供了雙向JavaScript橋梁API，允許用戶在同一時間迅速創建能夠直接與DOM交互的BurpSuite插件，以及Burp的擴展API。此舉讓BurpSuite插件開發人員得以直接在DOM自身運行他們的web應用程序，在檢測自身邏輯的同時還可以利用BurpSuite的其他功能。
項目主頁：https://github.com/allfro/BurpKit/releases
0x08 CSRF Scanner
CSRF Scanner是一款CSRF漏洞的測試工具，主動掃描CSRF漏洞問題，主要是了加強burpsuite中的CSRF掃描功能。
可以從“ Bapp Store” 界面左側選擇” CSRF Scanner”, 導航到右側點擊“ install”來進行安裝
0x09 s1riu5TheMagician
s1riu5TheMagician是一款信息采集插件。支持C段端口掃描、子域名查詢、敏感文件掃描等功能
項目主頁：https://github.com/5ir1us/Tarot/tree/master/s1riu5TheMagician
0x10 Java-Deserialization-Scanner
Java-Deserialization-Scanner是一個BurpSuite的插件，用來自動化的發現java反序列化漏洞
項目主頁：https://github.com/federicodotta/Java-Deserialization-Scanner
0x11 CSP-Bypass
CSP-Bypass是一個使用Python編寫的一個Burp插件，他可以使用已知道的方法去嘗試網站CSP的安全性，是否能夠繞過。
項目主頁：https://github.com/moloch–/CSP-Bypass
0x12 JSON Decoder
JSON Decoder可以將json數據格式化，比較方便查看。
可以從“ Bapp Store” 界面左側選擇” JSON Decoder”, 導航到右側點擊“ install”來進行安裝
0x13 Additional Scanner Checks
Additional Scanner Checks是一款PDF元數據被動掃描插件，用於檢查PDF文件
項目主頁：https://github.com/luh2/PDFMetadata
Burpsuite插件收集項目
項目主頁：https://github.com/xl7dev/BurpSuite/tree/master/Extender
提供了大量實用的Burpsuite插件
BurpSuite 的 Intruder Payloads：
項目主頁：https://github.com/1N3/IntruderPayloads