Burp Suite Professional 2024.11 for macOS x64 & ARM64 - 领先的 Web 渗透测试软件

世界排名第一的 Web 渗透测试工具包

请访问原文链接：https://sysin.org/blog/burp-suite-pro-mac/ 查看最新版。原创作品，转载请保留出处。

作者主页：sysin.org

Burp Suite Professional
The world’s #1 web penetration testing toolkit.

Burp Suite Professional，更快、更可靠的安全测试，领先的 Web 安全测试工具包。

roadmap

新增功能

2024 年 11 月 25 日，版本 24.11

此版本引入了站点地图过滤器 Bambdas、匹配和替换 Bambdas、用于 API 扫描的动态身份验证令牌，以及用于入侵者攻击的增强负载管理。我们还进行了多项用户体验改进、性能改进和一些错误修复。

使用 Bambdas 过滤站点地图

我们正在将 Bambdas 引入 Burp 的更多领域。这些基于 Java 的代码片段使您能够直接从 UI 自定义 Burp。

此版本将 Bambdas 引入站点地图过滤器。这使您能够自定义站点地图以准确捕获您需要的内容，从而帮助您通过过滤掉不必要的流量来集中分析。
使用 Bambdas 进行高级匹配和替换规则

我们通过添加对 MontoyaAPI 功能子集的访问，扩展了 match 和 replace Bambdas 的功能。这使您能够为高级使用案例创建更复杂的 Bambda。

请谨慎使用 MontoyaAPI 功能。虽然我们限制了对已知危险功能的访问，但某些方法仍可能影响 Burp 的性能或导致内存泄漏。
用于仅 API 扫描的动态身份验证令牌

我们已在仅 API 扫描中引入了对动态身份验证令牌的支持。Burp 现在可以在扫描期间自动处理令牌续订，确保不间断地访问受保护的终端节点，而无需您干预。

此功能可用于不记名令牌和我们新的自定义方法，它使您可以灵活地指定令牌在请求中的放置位置。这两种方法都支持固定令牌和动态令牌。
增强的 Intruder 攻击负载管理

我们进行了大量更改，以改进配置 Intruder 攻击时的负载标记处理。

使用 § 字符作为有效负载标记现在纯粹是视觉的。这意味着您可以对包含 § 字符的请求运行 Intruder 攻击 - 它不会被解释为定义有效负载位置。

当您配置 Pitchfork 或 Cluster bomb 攻击时，Payloads 侧面板中的 Payload position 下拉列表现在显示有效载荷位置的封闭文本以及有效载荷位置编号。此外，如果您单击请求中的负载位置，Burp 会自动从 Payload position 下拉列表中选择相应的项目。这些更新可帮助您在配置攻击时快速识别和管理负载集。
用于调试 Bambdas 的输出控制台

我们添加了在编写 Bambdas 时将输出打印或记录到控制台的功能。使用提供的日志记录对象，通过对代码执行的实时反馈更高效地进行调试，从而轻松检查变量、跟踪错误和测试代码。
用户体验改善

我们对用户体验进行了以下改进：
- 我们添加了一项新设置，允许您选择 Burp Suite 是优先考虑 IPv4 还是 IPv6 进行 DNS 解析。如果您的路由限制仅允许 IPv4 或 IPv6 流量，则此功能特别有用。
- Cookie jar 现在显示每个 Cookie 是否具有 HTTPOnly 和 Secure 标志，从而为您提供更完整的 Cookie 属性视图。
性能改进

我们进行了以下性能改进：
- 现在，当所有其他因素都相同时，扫描程序会优先考虑经过身份验证的项目，而不是未经身份验证的项目。
- 我们改进了扫描程序解析大型资源文件的能力，显著缩短了有时导致扫描超时的处理时间。
Bug 修复

我们修复了以下错误：
- 录制的登录播放程序中的错误导致下拉选项错误地重置。
- 录制的登录记录器中存在一个错误，导致它仅捕获部分登录序列，并阻止将登录信息复制到剪贴板。
浏览器升级

我们已经将 Burp 的浏览器升级到了 Chromium 131.0.6778.86（适用于 Windows 和 Mac）和 131.0.6778.85（适用于 Linux）。