Навыки burp-suite-testing

📦

burp-suite-testing

Name: burp-suite-testing
Author: sickn33

v1.1 Ревизия содержимого r1 Критично ⚙️ Внешние команды🌐 Доступ к сети📁 Доступ к файловой системе

Тестирование веб-приложений с Burp Suite

Веб-командам нужен повторяемый способ проверять и тестировать трафик приложений. Этот навык помогает выполнять авторизованные рабочие процессы Burp Suite для перехвата, повторной отправки, сканирования и анализа найденных проблем.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Не устанавливайте этот Skill автоматически.

Каноническая политика требует проверки оператором перед любым действием по установке.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "burp-suite-testing" from https://skillstore.io/skills/sickn33-burp-suite-testing.md and its manifest at https://skillstore.io/api/skills/sickn33-burp-suite-testing/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/sickn33-burp-suite-testing.md Подписанный manifest GET /api/skills/sickn33-burp-suite-testing/manifest Подписанный lockfile GET /api/skills/sickn33-burp-suite-testing/lockfile

Протестировать

Использование «burp-suite-testing». Мне нужно протестировать авторизованный checkout flow в staging.

Ожидаемый результат:

Подтвердите письменный scope и используйте тестовую учетную запись.
Захватите checkout request в Proxy.
Повторно отправьте контролируемые изменения в Repeater.
Зафиксируйте, блокирует ли server-side validation небезопасные значения.

Использование «burp-suite-testing». Сканирование сообщило о возможной reflected script issue.

Ожидаемый результат:

Откройте запрос и ответ, которые вызвали срабатывание.
Повторите запрос с безвредным validation marker.
Сравните поведение ответа и свидетельства выполнения в браузере.
Задокументируйте impact, affected parameter и remediation advice.

Использование «burp-suite-testing». Browser traffic не появляется в Burp.

Ожидаемый результат:

Проверьте, что локальный listener активен.
Проверьте настройки browser proxy.
Убедитесь, что сертификат Burp является доверенным для HTTPS.
Проверьте intercept rules и поддержку target protocol.

Аудит безопасности

Критично

v4 • 05.07.2026 Открыть версионный отчет

Most static backtick and network detections are markdown examples or local Burp proxy references, so they are false positives for local execution or exfiltration. The skill still contains actionable web exploitation workflows, including price manipulation, authentication bypass, credential attacks, and command or file access payloads. Publication should require stronger authorization boundaries and lab-only framing.

Просканировано файлов

386

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (6)

Критично

SKILL.md:287

System password file access

../../../etc/passwd

The path traversal payload explicitly targets /etc/passwd. That is sensitive system-file disclosure guidance, even though it is presented as a test payload.

Критично

SKILL.md:292

System password file access

| cat /etc/passwd

The command-injection payload pipes cat /etc/passwd, directly attempting sensitive file disclosure from a target system. This is actionable high-risk exploit guidance.

Высокий

SKILL.md:293

System reconnaissance

`whoami`

whoami is a reconnaissance command in the command-injection payload list. It can disclose the target process identity when a vulnerability exists.

Высокий

SKILL.md:326-334

Actionable Business Logic Abuse Workflow

The examples give step-by-step instructions for manipulating an e-commerce price request and completing checkout at the changed price. This can support authorized testing, but it is directly usable for fraud against real applications.

Lines 326-334 provide an explicit price manipulation scenario through checkout. The broader guardrails do not make this example lab-only.

Высокий

SKILL.md:336-345 SKILL.md:276-279

Authentication Bypass And SQL Injection Guidance

The skill shows an authentication bypass test using an SQL injection payload and tells the user to observe successful login. This is actionable exploit guidance for login systems.

The cited lines include concrete SQL injection payloads and an authentication bypass walkthrough. The intent is clear despite the authorized-testing framing.

Высокий

SKILL.md:222-251

Credential Attack Automation Guidance

The Intruder section describes credential testing, username and password payload sets, and attack modes including full combination testing. These steps can enable brute-force or credential stuffing when used without authorization.

The section gives concrete Burp Intruder steps, attack modes, and credential payload sets. It includes legitimate testing uses but remains directly actionable for credential attacks.

Пункты проверки возможностей (4)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий

SKILL.md:275-293

Ruby/shell backtick execution

```

This payload block includes command-injection examples such as listing files and reading password files on a target. It is not local Ruby execution, but it is actionable external command payload guidance.

Высокий

SKILL.md:293-294

Ruby/shell backtick execution

`whoami`

The backticked whoami payload is presented as a command-injection test. It can reveal execution context on a target system if used against a vulnerable application.

Высокий

SKILL.md:287

Path traversal sequence

../../../etc/passwd

The payload is an actionable path traversal string targeting Unix password files on a web target. Even in testing context, it can be used to attempt sensitive file disclosure.

Высокий

SKILL.md:288

Path traversal sequence

..\..\..\..\windows\win.ini

The Windows traversal payload is a direct example for probing file disclosure. It is dual-use security content that can be misused against unauthorized systems.

Факторы риска

⚙️ Внешние команды (22)

🌐 Доступ к сети (3)

SKILL.md:368 SKILL.md:27 SKILL.md:362

📁 Доступ к файловой системе (2)

SKILL.md:287 SKILL.md:288

Обнаруженные паттерны

System password file access×2System reconnaissance

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/sickn33-burp-suite-testing/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/sickn33-burp-suite-testing/security.svg)](https://skillstore.io/skills/sickn33-burp-suite-testing?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/sickn33-burp-suite-testing?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-burp-suite-testing/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/sickn33-burp-suite-testing.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

sickn33. (2026). burp-suite-testing security audit report (audit version 4) [Author version 1.1]. Skillstore. https://skillstore.io/skills/sickn33-burp-suite-testing/audits/4

Цитата BibTeX

@techreport{sickn33-sickn33-burp-suite-testing-2026,
  author = {sickn33},
  title = {burp-suite-testing security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/sickn33-burp-suite-testing/audits/4},
  note = {Author version 1.1}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "burp-suite-testing security audit report (audit version 4)"
version: "1.1"
type: report
authors:
  - name: "sickn33"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/sickn33-burp-suite-testing/audits/4"
identifiers:
  - type: other
    value: "skillstore:sickn33-burp-suite-testing:audit:4"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Проверка трафика staging-среды

Проверяйте запросы и ответы staging-приложения перед релизом.

Проведение авторизованных оценок

Структурируйте ручное тестирование в Burp по scope, Repeater, Intruder и отчетности.

Анализ результатов сканера

Используйте результаты Burp Professional как отправные точки для ручной проверки.

Попробуйте эти промпты

Настроить Burp Proxy

У меня есть разрешение тестировать staging web app. Проведи меня через настройку Burp Suite proxy и перехват в браузере.

Проверить запрос

Помоги мне захватить один in-scope HTTP request, просмотреть headers и parameters, а затем решить, что отправить в Repeater.

Спланировать анализ сканера

Создай авторизованный план сканирования Burp Professional для моего target scope, включая scan mode, rate limits и шаги ручной проверки.

Построить стратегию тестирования

Разработай scoped Burp Suite testing workflow для authentication, access control и input validation. Включи evidence to collect и reporting notes.

Лучшие практики

Подтверждайте письменную авторизацию перед тестированием любой цели.
Задавайте target scope перед сканированием или отправкой повторяющихся запросов.
Проверяйте автоматические результаты вручную перед отчетом об уязвимостях.

Избегать

Тестирование систем без разрешения.
Запуск тяжелых сканирований без rate limits или maintenance windows.
Использование вывода сканера как финального доказательства без ручной проверки.

Часто задаваемые вопросы

Нужно ли установить Burp Suite?

Да. Навык объясняет рабочие процессы, но не устанавливает и не запускает Burp Suite за вас.

Можно ли использовать Community Edition?

Да. Рабочие процессы Proxy и Repeater работают в Community Edition. Автоматическое сканирование требует Professional.

Подтверждает ли этот навык авторизацию?

Нет. Пользователи должны подтвердить письменное разрешение и scope перед тестированием любой системы.

Может ли он помочь с перехватом HTTPS?

Да. Он объясняет настройку сертификата на высоком уровне и распространенные проверки при устранении неполадок.

Каких результатов следует ожидать?

Ожидайте шаги тестирования, рекомендации по анализу трафика, заметки по проверке сканирования и готовые для отчета сводки найденных проблем.

Подходит ли это для production targets?

Только при наличии авторизации, согласованного scope и rate limits. По возможности используйте staging-среду.

Сведения для разработчиков

Автор

sickn33

Лицензия

MIT

Версия автора

v1.1

Ревизия Skillstore

Примечание о версии

Заявленная автором версия не соответствует SemVer.

Репозиторий

https://github.com/sickn33/antigravity-awesome-skills/tree/main/skills/burp-suite-testing

Ссылка

6425ec35f4ac137735cff58cd7877843bba23e3b

Актуальность поддержки

23.07.2026

Использование

6 загрузок · 110 просмотров

Структура файлов

📄 SKILL.md