嗨，朋友你好，我是闪石星曜CyberSecurity创始人Power7089。

（大家的给公众号点个星标哦，实时获取最新文章不迷路~）

今天为大家带来的是【炼石计划@渗透红队攻防】内部圈子原创文章之BurpGPT插件部署的一些问题及解决方案。内部课程文章部分分享给大家学习，如果你也想利用碎片化时间系统的学习Java代码审计，欢迎加入我们。

【炼石计划@渗透红队攻防】是一个专注渗透红队攻防的内部圈子，多维度分享和红队攻防息息相关的内容，包括但不限于 Java 代码审计，PHP 代码审计，Web进阶渗透，红队攻防实战总结，漏洞复现等内容。            

现仅需 129 元一年（自加入起计算），这点投资会让你有成倍的收获！

温馨提示，价格会逐步上调，欲购从速！

进入正文

近日，发现一款 BurpSuite 最新插件，集成了OpenAI 的 GPT，以执行额外的被动扫描！

下面是项目原地址：

 https://github.com/aress31/burpgpt

下面是上一期我用机器翻译的原文：

完蛋要失业了！BurpSuite最新插件，集成了OpenAI的GPT，以执行额外的被动扫描！

（机器翻译）

burpgpt 利用人工智能的力量来检测传统扫描器可能错过的安全漏洞。它将 Web 流量发送到用户指定的 OpenAI 模型，使被动扫描器内能够进行复杂的分析。此扩展提供可定制的提示，以满足每个用户特定需求的定制 Web 流量分析。请查看“示例用例”部分以获得灵感。

该扩展会生成自动化的安全报告，根据用户的提示和 BurpSuite 请求实时数据，总结潜在的安全问题。通过利用人工智能和自然语言处理，该扩展简化了安全评估流程，并为安全专业人员提供了被扫描应用程序或端点的更高级别概述。这使他们更容易识别潜在的安全问题并优先进行分析，同时也可以覆盖更大的潜在攻击面。

数据流量将发送到 OpenAI 进行分析。如果您对此有疑虑或正在为安全关键应用程序使用该扩展，请认真考虑并查看 OpenAI 的隐私政策以获取更多信息。

尽管报告是自动化的，但仍需要由安全专业人员进行分析和后处理，因为它可能包含误报。

该扩展的有效性严重依赖于用户为选定的 GPT 模型创建的提示的质量和精度。这种有针对性的方法将有助于确保GPT模型为您的安全分析生成准确和有价值的结果。

在我部署完插件时发现一直报错，意思是链接不上api.openai.com，通过自行测试发现如果不挂代理确实国内连不上。如下图所示：

尝试了设置全局代理，尝试了 BurpSuite 挂 Socks 代理都没用。

想了一会觉得这个插件的作用大致应该是收集被动扫描的请求和响应数据包后，传给 openai 进行更多的检测。

既然请求操作是有 BurpGPT 额外发起的，那 BurpSuite 的 Socks 是和他没关系的。

于是，翻阅了代码，找到了发起请求的代码，如下图所示：

我的想法是在请求时加入代理地址，代码大致能明白什么意思，但具体该如何做呢？

一筹莫展之际，想到了 ChatGPT，不妨拿他试试，没想到轻松解决。

当然不是我写的了，就是给了他一个场景。

一开始给出的解决方案是个错误的，因为他不了解使用的是哪个请求依赖库，随便给了个挂代理的代码。

当我告诉他是使用的是 okhttp3 后，再次痛快的甩给了我代码，加入给出的代码后，重新编译，在 BurpSuite 加入插件，完美解决链接不上的问题，如下图所示：

也就是下述这段代码：

     // Create an OkHttpClient instance with proxy settings     OkHttpClient client = new OkHttpClient.Builder()         .proxy(new Proxy(Proxy.Type.HTTP, new InetSocketAddress("proxy.example.com", 8080)))         .build();

在项目中加入后，最终如下图所示：

最后就是加载编译，我使用的 IDEA 的 shadowjar，和原文中编译是一样的，如下图所示：

注意：关于代理怎么搞，大家各显神通吧，这里就不讲了，也不能讲！

需要特别注意的是，经过我的尝试，发现该插件需要在 BurpSuite 最新版下使用，否则会报错，如下图所示。

截止发文，最新版为 BurpSuite 2023.3.2。

分享个最新版破解地址：

https://www.52pojie.cn/thread-1544866-1-1.html

我已将上述项目编译成了 BurpSuite 可识别的 Jar 包，并添加至本条主题附件中。如有疑问，自行检测安全性。

①、第一步：添加依赖：

选择Extender模块下的Extendensions标签，点击 Add，选择burpgpt-all.jar，如下图所示：

②、第二步：获取 API key

访问https://platform.openai.com/account/api-keys，登录 ChatGPT 的账号密码，在右上角点击头像，View API keys找到 API Keys，新建一个后，复制粘贴，如下图所示：

③、第三步：配置 API key

找了半天才发现加载的 BurpGPT 在最上面，点击 BurpGPT - Settings - Open API 设置 API Key，将上面获取到的 API Key 粘贴进去，如下图所示：

④、第四步：其他配置信息

在设置中，还能选择定义模型，和最大 Tokens 限制，根据原文所说：通常GPT-3，约为2048。最后点击 Apply 即可。

⑤、第五步：在 BurpSuite 开启被动扫描时他会自动加载，如下图所示：

这步的报错大概是跟 API Keys 有关，或者请求限制有关，至少我的是这样。

可能大家的没有问题，你们先试试，我这再研究下。有好的解决方案，不吝请教。

AI 时代猛然来临，作为网络安全从业者，我们是否会被冲击呢？

如果这样，我们该如何提升自己的核心竞争力呢？

这是值得思考的问题，当然首先要做的是不断的学习。