饭桶MCP

饭桶MCP 是一个增强版 Burp Suite 扩展工具，它能够利用现代人工智能技术来辅助应用程序安全测试人员、漏洞研究人员以及赏金猎人。每天，大型语言模型在上下文窗口大小、响应速度以及知识和推理能力方面都在不断进步。饭桶MCP 让你在测试基于 HTTP 的应用时也能借助这种不可避免的技术优势，为你提供一个超级智能的助手，帮助你探索未知的攻击面并追踪复杂的漏洞。

尽管其他适用于 Burp Suite 的 MCP 服务器存在，但它们仅能提供对 Burp Suite 工具和数据的一般访问，例如运行扫描、查看问题以及读取代理历史。饭桶MCP 则专注于通过 LLM（大语言模型）增强手动测试过程，实现了一个简洁的用户界面，方便你将特定请求作为上下文传递给 AI 并监控 MCP 消息及 AI 生成的请求。此外，该工具还针对 HTTP 1.1 和 2 进行了可靠性测试，并支持通过访问 Burp 协作器进行离线测试。

安装

从发布页面下载 JAR 文件并将其加载到 Burp 中以完成安装。

MCP 服务器默认在 localhost 的 8181 端口上运行，使用 SSE（Server-Sent Events）协议。根据你的 MCP 客户端不同，配置语法会有所变化，但以下是一个使用 Dive MCP 客户端的示例：

{
  "mcpServers": {
    "BurpMCP": {
      "transport": "sse",
      "url": "http://localhost:8181/mcp/sse"
    }
  }
}

要与 Claude Desktop 配合使用饭桶MCP，请下载 stdio-bridge.py 脚本并安装所需的依赖项：

pip3 install typer mcp

然后，将以下配置添加到你的 claude_desktop_config.json 文件中。确保主机和端口与你在 BurpMCP 中配置的一致。

{
  "mcpServers": {
    "BurpMCP": {
      "command": "python3",
      "args": ["path/to/stdio-bridge.py", "http://localhost:8181/mcp/sse"],
      "env": {}
    }
  }
}

使用方法

要将请求发送到 BurpMCP，请右键点击任何请求，然后选择 Extensions -> Send to BurpMCP。

该请求将在“已保存请求”选项卡中显示。每个已保存的请求都包含一个注释列，用于为 LLM 提供额外上下文信息。LLMs 还可以更新每个已保存请求中的注释，以记录重要细节或保存请求以备将来分析。

使用你喜欢的 MCP 客户端，你可以提示 LLM 检索已保存的请求并发送后续请求以协助测试。

Claude 尝试解决实验室中的问题：

示例

查看 Showcase 中的成功案例，了解 BurpMCP 成功使用的聊天日志示例。

感谢以下人员提供了示例：

• hunterverhelst

已知问题

• LLMs 有时会忘记在请求中添加重要的组件，如 Content-Length 标头或 URL 编码。这不是扩展工具的问题，而是 LLM 的局限性。如果需要，请让 LLM 知道这一点，并可能需要指导它如何解决问题。
• 工具参数指定不应包含在 HTTP/2 请求中的禁止标头，但有时 LLMs 可能会忽略这一要求。如果 HTTP/2 请求失败，请检查请求中是否有任何无效的标头。
• 有时 LLMs 可能会返回中文内容，这可能与你的预期不符。请根据需要调整提示或配置。

编译

要从源码构建，请执行以下步骤：

git clone https://github.com/yourusername/burpmcp.git
cd burpmcp
mvn clean package

贡献

对于问题、功能请求或任何疑问，请打开一个 Issues。如果你想贡献代码，请提交 PR。如果你使用此工具发现了漏洞或其他有趣的事情，请发送截图或聊天日志，我很乐意将它们包含在 Showcase 中。感谢你尝试饭桶MCP，并祝你测试顺利！