BurpGPT 完整使用教程4 步让 GPT 接入 Burp 被动扫描找出规则扫描器漏掉的漏洞【免费下载链接】burpgptA Burp Suite extension that integrates OpenAIs GPT to perform an additional passive scan for discovering highly bespoke vulnerabilities and enables running traffic-based analysis of any type.项目地址: https://gitcode.com/gh_mirrors/bu/burpgptBurpGPT 是一个 Burp Suite 扩展把 OpenAI 的 GPT 模型接入 Burp 的被动扫描流程你抓到的每一条 HTTP 请求和响应都会按你写的提示词交给 GPT 分析结论直接落到 Burp 的 issue 列表里。这篇教程面向第一次接触它的读者把环境准备、安装、配置到提示词调优的完整路径一次讲清楚。它能帮你做什么 给 Burp 加一条 AI 被动扫描检查GPT 被注册进 Burp 的被动扫描流程每对请求/响应都会被分析结果以 Informational 级别的发现呈现帮你覆盖规则扫描器够不到的攻击面提示词完全由你定义不只是找漏洞——借助内置的占位符系统{REQUEST}、{RESPONSE_BODY}等会被替换成真实流量数据你可以让 GPT 分析任何维度比如这个响应是否受某个加密库的 CVE 影响这段认证流程有没有异常可控、可观察max prompt size 限制每次请求的 token 开销API Key 失效、限流这类通信问题都会直接出现在 Burp 原生 Event Log 里排错不用猜动手前需要备齐什么Burp Suite专业版或社区版版本需2023.3.2 及以上旧版本加载扩展可能报NoSuchMethodErrorJDK 11并配置好JAVA_HOME环境变量Gradle 6.9项目自带构建脚本外部依赖构建时会自动下载一个有效的OpenAI API Key快速把项目跑起来 做完下面四步你之后每发出一条请求/响应Burp 的 issue 列表里都会出现 GPT 的分析结果——看到它就说明配置生效了。获取代码只需一条命令git clone https://gitcode.com/gh_mirrors/bu/burpgpt构建扩展 jar进入项目根目录执行./gradlew shadowJarWindows 用gradlew.bat。构建完成后lib/build/libs目录下会出现以burpgpt-all开头的 jar这就是要加载的扩展文件装入 Burp在 Burp Suite 的 Extensions 选项卡点 Add选中刚才构建的 jar配置从菜单栏的 BurpGPT 菜单打开 Settings 填入 OpenAI API Key选择模型内置 davinci、ada、babbage、curie 等选项设置 max prompt size再按需编辑分析提示词看懂它背后的实现代码量不大弄清两个文件就能理解整个流程lib/src/main/java/burp/MyScanCheck.java 是挂载点实现了 Burp 的ScanCheck接口passiveAudit方法把每对请求/响应交给 GPT 客户端再把返回内容解析成标准的 Burp issuelib/src/main/java/burpgpt/http/GPTClient.java 是通信层用 OkHttp 把提示词 POST 到 OpenAI 的 completions API把响应解析成结构化对象遇到 401、429 等状态码会抛出带明确含义的错误信息占位符替换把{REQUEST}、{URL}换成真实数据和按长度截断的聪明逻辑在 lib/src/main/java/burpgpt/gpt/GPTRequest.java 里。更多细节可以翻 README.md。让效果更好的调优细节 ⚙️提示词先说清要什么明确分析重点并要求输出格式比如用 bullet list 列出发现每条为漏洞名一句话描述可读性会高很多用细粒度占位符只关心头部和 body 时用{REQUEST_HEADERS}、{REQUEST_BODY}别整段{REQUEST}丢进去——提示词更短、GPT 更聚焦token 也省留意 token 预算GPT-3 系模型 max prompt 通常在 2048 左右在设置里给 max prompt size 设个合理值提示词被截断与否可用{IS_TRUNCATED_PROMPT}占位符自检把发现当线索而非结论结果固定是 Informational 级别 tentative 置信度可能含误报扫完务必人工过一遍排错看 Event Log发现没出来时打开 Burp 的 Event Log——401 是 API Key 错误429 是限流报错信息直接指向原因注意数据边界BurpGPT 会把真实流量发给 OpenAI 分析敏感项目先评估这一点再启用环境备好之后4 步就能让 BurpGPT 跑起来从那以后每一轮被动扫描都自带一次 AI 复核帮你看见规则看不见的东西。【免费下载链接】burpgptA Burp Suite extension that integrates OpenAIs GPT to perform an additional passive scan for discovering highly bespoke vulnerabilities and enables running traffic-based analysis of any type.项目地址: https://gitcode.com/gh_mirrors/bu/burpgpt创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 BurpGPT 完整使用教程：4 步让 GPT 接入 Burp 被动扫描，找出规则扫描器漏掉的漏洞
BurpGPT 完整使用教程4 步让 GPT 接入 Burp 被动扫描找出规则扫描器漏掉的漏洞【免费下载链接】burpgptA Burp Suite extension that integrates OpenAIs GPT to perform an additional passive scan for discovering highly bespoke vulnerabilities and enables running traffic-based analysis of any type.项目地址: https://gitcode.com/gh_mirrors/bu/burpgptBurpGPT 是一个 Burp Suite 扩展把 OpenAI 的 GPT 模型接入 Burp 的被动扫描流程你抓到的每一条 HTTP 请求和响应都会按你写的提示词交给 GPT 分析结论直接落到 Burp 的 issue 列表里。这篇教程面向第一次接触它的读者把环境准备、安装、配置到提示词调优的完整路径一次讲清楚。它能帮你做什么 给 Burp 加一条 AI 被动扫描检查GPT 被注册进 Burp 的被动扫描流程每对请求/响应都会被分析结果以 Informational 级别的发现呈现帮你覆盖规则扫描器够不到的攻击面提示词完全由你定义不只是找漏洞——借助内置的占位符系统{REQUEST}、{RESPONSE_BODY}等会被替换成真实流量数据你可以让 GPT 分析任何维度比如这个响应是否受某个加密库的 CVE 影响这段认证流程有没有异常可控、可观察max prompt size 限制每次请求的 token 开销API Key 失效、限流这类通信问题都会直接出现在 Burp 原生 Event Log 里排错不用猜动手前需要备齐什么Burp Suite专业版或社区版版本需2023.3.2 及以上旧版本加载扩展可能报NoSuchMethodErrorJDK 11并配置好JAVA_HOME环境变量Gradle 6.9项目自带构建脚本外部依赖构建时会自动下载一个有效的OpenAI API Key快速把项目跑起来 做完下面四步你之后每发出一条请求/响应Burp 的 issue 列表里都会出现 GPT 的分析结果——看到它就说明配置生效了。获取代码只需一条命令git clone https://gitcode.com/gh_mirrors/bu/burpgpt构建扩展 jar进入项目根目录执行./gradlew shadowJarWindows 用gradlew.bat。构建完成后lib/build/libs目录下会出现以burpgpt-all开头的 jar这就是要加载的扩展文件装入 Burp在 Burp Suite 的 Extensions 选项卡点 Add选中刚才构建的 jar配置从菜单栏的 BurpGPT 菜单打开 Settings 填入 OpenAI API Key选择模型内置 davinci、ada、babbage、curie 等选项设置 max prompt size再按需编辑分析提示词看懂它背后的实现代码量不大弄清两个文件就能理解整个流程lib/src/main/java/burp/MyScanCheck.java 是挂载点实现了 Burp 的ScanCheck接口passiveAudit方法把每对请求/响应交给 GPT 客户端再把返回内容解析成标准的 Burp issuelib/src/main/java/burpgpt/http/GPTClient.java 是通信层用 OkHttp 把提示词 POST 到 OpenAI 的 completions API把响应解析成结构化对象遇到 401、429 等状态码会抛出带明确含义的错误信息占位符替换把{REQUEST}、{URL}换成真实数据和按长度截断的聪明逻辑在 lib/src/main/java/burpgpt/gpt/GPTRequest.java 里。更多细节可以翻 README.md。让效果更好的调优细节 ⚙️提示词先说清要什么明确分析重点并要求输出格式比如用 bullet list 列出发现每条为漏洞名一句话描述可读性会高很多用细粒度占位符只关心头部和 body 时用{REQUEST_HEADERS}、{REQUEST_BODY}别整段{REQUEST}丢进去——提示词更短、GPT 更聚焦token 也省留意 token 预算GPT-3 系模型 max prompt 通常在 2048 左右在设置里给 max prompt size 设个合理值提示词被截断与否可用{IS_TRUNCATED_PROMPT}占位符自检把发现当线索而非结论结果固定是 Informational 级别 tentative 置信度可能含误报扫完务必人工过一遍排错看 Event Log发现没出来时打开 Burp 的 Event Log——401 是 API Key 错误429 是限流报错信息直接指向原因注意数据边界BurpGPT 会把真实流量发给 OpenAI 分析敏感项目先评估这一点再启用环境备好之后4 步就能让 BurpGPT 跑起来从那以后每一轮被动扫描都自带一次 AI 复核帮你看见规则看不见的东西。【免费下载链接】burpgptA Burp Suite extension that integrates OpenAIs GPT to perform an additional passive scan for discovering highly bespoke vulnerabilities and enables running traffic-based analysis of any type.项目地址: https://gitcode.com/gh_mirrors/bu/burpgpt创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考