BChecks 自定义poc检测 – 把BurpSuite 打造成强大的漏洞扫描器

BChecks是什么？BChecks可以创建和导入的自定义扫描检查。Burp Scanner在执行其内置扫描例程的同时运行这些检查，帮助您定位扫描并使测试工作流尽可能高效。每个BCheck都定义为一个以.bcheck文件扩展名结尾的纯文本文件。这些文件使用自定义语言来指定检查的行为。为什么用BChecks？BurpSuite 自带的扫描引擎只能扫描某种类型的漏洞，如SQL注入，XSS，没有对特定漏洞，如某OA漏洞，shiro反序列化漏洞等漏洞的扫描，当我们要扫描特定漏洞时，需要用Java编写burpsuite插件，门槛较高，而且不同的漏洞往往有不同的作者编写，需要加载不同的插件，比较麻烦。同时我们往往需要使用外部的扫描器来补充对特定漏洞的检测，如用 xray 等扫描器。但BCheck 的出现，将改变这一现状，使 burpsuite可以直接加载各种漏洞的 poc，获得对特定漏洞的强大检测能力。 理想情况下，只要BCheck脚本足够多，使用burpsuite 就可以检测几乎所有Web漏洞，不需要额外的Web扫描器。如何使用 BCheck？要使用BCheck 脚本，你需要安装 Burp Suite 2023.7.1 以及更新的版本。然后插件处导入 BCheck 脚本，现在官方维护着一个 BCheck 脚本的仓库，地址如下：https://github.com/PortSwigger/BChecks本次演示使用 Burp Suite 2023.10.2在 Extensions -> BChecks 处点击 Import ，导入 .bcheck 后缀的 bcheck 脚本。 
导入后把 bcheck 脚本勾上就可以在扫描时调用了。
接着在想扫描的请求上右键，新建扫描我们也可以在新建扫描时，只调用 bcheck 扫描，具体操作如下：
在扫描设置处点击 select from library
选择 BChecks only，即可只调用BCheck扫描，不过在用默认的扫描配置时，会默认调用BCheck，并不用特意选择。在Dashborad面板处可以看到已经扫描出一个 Shiro 漏洞了。
如何编写BCheck脚本？
怎样编写BCheck脚本呢？可以先看看 BCheck 的定义文档：https://portswigger.net/burp/documentation/scanner/bchecks/bcheck-definition-reference还可以看看官方的一些例子脚本，从而快速上手：
https://github.com/PortSwigger/BChecks/tree/main/examples下面是根据文档翻译的定义，如果想直接看编写实操，可以跳过这段BCheck 定义Metadata 元数据包含有关检查本身的信息。对于所有BChecks，必须将元数据对象放置在定义的开始。

metadata: language: v1-beta name: "Simple SQLi" description: "Tests insertion points for basic SQLi" author: "Peter Wiener" tags: "sql", "active", "sql-injection"

Control flow 控制流

这些关键字控制定义的执行流程。run for each

声明一个可以迭代的数组变量。当变量称为检查时，该数组中的每个项目一次运行一次。声明的变量具有外部范围。run for each 关键字的运行是可选的。如果使用，则必须将其放置在given…then 之前，然后在定义中进行陈述。

run for each:variable_name = "variable value 1", "variable value 2", etc.
例子
该示例声明一个称为 url_array 的变量，列出了三个URL。如果您正在编写需要针对多个URL进行相同的测试（例如，依次添加作为 Origin 头来检测 CORS  错误配置）。

run for each:url_array =null,"http://example.com",`https://{random_str(5)}{base.response.url}`define 声明声明具有内部作用域的变量。define关键字是可选的。如果使用，你必须把它放在given…then 语句的前面。

define: variable_name = "variable_content"例子该示例调用generate_collaborator_address()函数生成新的Burp collaborator地址，并将其存储在名为collaborator_address的变量中。

define: collaborator_address = {generate_collaborator_address()}
given…then根据被检测的内容，定义检查何时运行。given [response|request|host] | [ [any|query|header|body|cookie]* + insertion point] then每个 BCheck 必须有一个 given / then 语句，其中包含：以下任一情况：

• given response then – 针对每一个检查的响应运行一次。
• given request then – 针对每一个检查的请求运行一次。
• given host then – 针对每一个检查的主机运行一次。

或者以下插入点关键字之一：

• given any insertion point then – 检查针对审核的每个插入点（任何类型）运行一次。如果您未指定插入点类型（即使用给定的插入点），Burp Scanner 也会使用此默认选项。 
• given query insertion point then – 该检查针对每个审核的查询运行一次。
• given header insertion point then – 该检查针对每个审核的 http 头运行一次。
• given body insertion point then – 该检查针对审核的每组http body 内容运行一次。
• given cookie insertion point then – 该检查针对每个审核的 cookie 运行一次。

可以使用 or 关键字来组合插入点。例如：

• given query or body insertion point then – 该检查针对审核的每个查询或一组 body 内容运行一次。
• given header or cookie insertion point then – 该检查针对每个审核的 http 头或 cookie 运行一次。

Conditionals 条件语句

这些关键字控制由于设定条件而发生的操作。只能在给定given…then 语句中使用条件关键字。
if… then如果满足设定条件则执行操作。需要以下内容：

表示 if 语句的结束。

if [condition] then [action]end if

Conditions 条件

您可以在 if 语句中使用以下条件：

• {X} matches "[regex]" – 如果 X 与提供的正则表达式匹配，则为 True
• {X} differs from {Y} – 如果响应 X 与响应 Y 不同，则为 True。
• {X} in {Y} – 如果 Y 包含 X，则为 True（例如，Y 可以是响应，X 可以是要在该响应中搜索的标头）。
• {X} is {Y} – 如果提供的参数相同，则为 True。
• any interactions – 如果 Burp Collaborator 已收到任何交互，则为 True。
• dns interactions – 如果 Burp Collaborator 已收到任何 DNS 交互，则为 true。
• http interactions – 如果 Burp Collaborator 已收到任何 HTTP 交互，则为 true。
• smtp interactions – 如果 Burp Collaborator 已收到任何 SMTP 交互，则为 True。

您还可以组合和修改条件：

• {condition} and {condition} – 如果两个条件都为真，则为真。
• {condition} or {condition} – 如果一个或两个条件为真，则为 True。
• not({condition}) – 如果条件不为真则为真。

Brackets 括号您可以在条件中使用括号来优化检查的逻辑流程。例如，A 或 B 和 C 创建一个条件，如果满足以下条件之一，则该条件的计算结果为 true：

• A is true.
• Both B and C are true.

Actions 动作

这些关键字提示 Burp Scanner 执行特定操作。其中一些关键字只能与某些插入点结合使用。有关定义在哪些插入点上使用检查逻辑的更多信息，请参阅 given…then。
send request发送包含指定信息的请求。可与除给定响应之外的所有扫描检查模式一起使用。注意：如果未提供操作关键字，则所有请求属性默认为替换。例如：

headers: "name_of_header1": "value of header1", "name_of_header2": "value of header2"与下面是相同的

replacing headers: "name_of_header1": "value of header1", "name_of_header2": "value of header2"

send request [called request_name]: [appending|replacing] headers:"name_of_header1": "value of header1","name_of_header2": "value of header2" removing headers:"name_of_header1","name_of_header2" [appending|replacing] queries:"name_of_query_1=http://portswigger.net","name_of_query_2=https://portswigger.net" removing queries:"name_of_query_1","name_of_query_2" [appending|replacing] path: "/test" removing path [appending|replacing] method: "GET" removing method [appending|replacing] body: "contents of body" removing body

send request (raw)将包含指定信息的请求作为原始 HTTP 请求发送。可与除given response之外的所有扫描检查模式一起使用。例子

send request [called request_name]: "GET /catalog/product?productId=2 HTTP/2 Host: ginandjuice.shop Cookie: session=qwertyuiop Content-Length: 2"
send payload发送附加或替换指定负载的新请求。只能与 given insertion point一起使用。

send payload [called payload_name]: appending: "payload" replacing: "payload"

report issue
导致 Burp Scanner 报告问题。BChecks 报告的所有问题都具有声明性扫描检查生成的问题类型。问题的显示名称取自 BCheck 的名称元数据属性。

report issue: severity: confidence: remediation: detail:

报告问题时控制流程report issue 操作会终止 BCheck，即使检查的某些部分尚未运行。您在设计 BCheck 时应该考虑这一点。例如，考虑以下 BCheck：

given host: send request: method: `GET` headers: `Host`: `{collaborator_address}`
 if dns interactions then report issue: severity: info confidence: certain end if
 if http interactions then report issue: severity: high confidence: certain end if此检查首先查找 DNS，然后查找由 Burp Collaborator 负载产生的 HTTP 交互。但是，如果检查发现 DNS 交互，则它会执行第一个报告问题操作，并且随后不会报告任何 HTTP 交互，即使存在 HTTP 交互也是如此。

Reserved variables 保留变量

这些关键字引用特定的请求或响应属性。注意：确保在命名自己的变量时不要使用这些保留的属性名称，因为这会导致 BCheck 运行时出错。
request / response这些关键字引用特定的请求或响应属性。您可以参考：

• base – Burp Scanner 在抓取过程中针对指定扫描模式发送的请求和接收的响应。
• latest – 此扫描模式的最新请求/响应对。
• {request_name} – 特定的请求/响应对，使用 Called 关键字命名。

base|latest|{request_name} { response { status_code headers body http_version } request { method url { protocol host port path file query } http_version headers body }}

Response

Request

Functions 函数

这些关键字在调用时执行特定任务。请注意，所有 BCheck 函数都用大括号 {} 表示。
random_str{random_str(int)} 返回指定长度的随机字符串。长度必须介于 0 和 9,999,999 之间。输入 0 将返回空字符串。

Example

{random_str(13)} // "qpald95nbjkig"

regex_replaceregex_replace（String source, String regex, String replacement） 获取源字符串并用替换字符串替换与指定正则表达式模式匹配的任何内容。

Example

regex_replace ({var}, "[a-z]*@", "abc@")

在此示例中，假设 {var} 的值为“xyz@portswigger.net”。正则表达式模式匹配电子邮件地址的第一部分，并将其替换为替换字符串，以创建 abc@portswigger.net 的最终输出。to_lower{to_lower(string)}将指定字符串转换为小写。

Example

{to_lower("Carlos MONTOYA")} // carlos montoyato_upper{to_upper(string)}将指定字符串转换为大写。

Example

{to_lower("Peter weiner")} // PETER WEINER

base64_encode{base64_encode(string)}使用 base64 对指定字符串进行编码。

Example

hello world // aGVsbG8gd29ybGQ=

base64_decode{base64_decode(string)}从 base64 解码指定的字符串。

Example

hello world // aGVsbG8gd29ybGQ=

generate_collaborator_address{generate_collaborator_address}生成一个新的 Burp Collaborator 地址以在请求中使用。您可以通过多次调用 {generate_collaborator_address} 在同一个 BCheck 中生成多个地址。SHA1sha1(String)使用 SHA1 哈希函数对提供的输入进行哈希处理。

Example

sha1("Hello") // aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d
SHA256
sha256(String)使用 SHA256 哈希函数对提供的输入进行哈希处理。

Example

sha256("Hello") // 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824
MD5md5(String)
使用 MD5 哈希函数对提供的输入进行哈希处理。

Example

MD5("Hello") // 5d41402abc4b2a76b9719d911017c592
组合函数如果需要，可以嵌套这些函数。例如，以下函数将变量转换为小写，然后通过一个操作将其编码为 Base64：

{base64_encode(to_lower(my_variable))}注意：确保在命名变量时不要使用这些函数名称，因为这会导致 BCheck 运行时出错。
杂项

Strings

使用双引号 (“”) 表示文字字符串 – “delete carlos”使用反引号 (“) 表示可插值字符串 – `https://{random_str(5)}.com`处理多行字符串时，Burp Scanner 将行结尾替换为 rn 并修剪每行上的尾随和前导空格（左引号之后和右引号之前的空格除外）。例如：”__GET / HTTP/1.1__ ___Host: portswigger.net_”变成”__GET / HTTP/1.1 Host: portswigger.net__”    要在可插值字符串中显式指定尾随/前导空格，请改用 s 字符。
字符转义在字符串中使用 字符来转义字符。例如，{var} 被转义，但 {var} 打印 var 的值。正则表达式BChecks 支持 Java 风格的正则表达式。"2[0-9][0-9]"注释
使用 # 来表示注释行。#Hello特殊字符
这些字符可以用作可插值字符串的一部分。例如，“s”被解释为空格，但文字字符串“s”被解释为两个单独的字符。n – 新行 r – 回车s – 空格 t – 制表符 b – 退格键f – 换页

BCheck  结构

为了创建有效的 BCheck，您需要遵循一些结构规则：

• 每个定义必须以 metadata 对象开始。.
• 每个定义必须有一个given... then 语句.
• 条件语句只能出现在 given... then 语句中.
• 任何define 或run for each 语句使用时必须放在metadata 块后面并在given... then 语句之前.
• 变量定义使用 run for each 具有外部作用域，而使用 define 声明的变量具有内部作用域. 这意味着您不能在run for each语句的后续运行中使用通过 Define 声明的变量。

bcheck定义介绍到这里结束了，下面进行 bcheck 编写实操教程bcheck 编写实操教程点击 New选择从模板创建，这样可以省不少时间点击相应模板，如想写一个被动扫描的插件，可以选择 response-level这个
下面编写一个被动检测使用了 shiro  框架的插件，代码如下：

metadata: language: v1-beta name: "Shiro Cookie Check Passive" description: "Check for Shiro Vulnerability in Response" author: "timeshatter" tags: "Shiro,passive"
given response then if "rememberMe=deleteMe" in {latest.response} then report issue: severity: info confidence: certain detail: "Shiro Vulnerability Detected: rememberMe=deleteMe" remediation: "Investigate and fix the Shiro vulnerability immediately." end if
第8行的 given response 为接收到请求响应时进行检测，也就是被动的检测，第9行处如果 rememberMe=deleteMe 在响应内容中，则报告检测到 shiro 框架。写完代码后，我们使用 vulhub的靶场来搭建个 shiro环境https://github.com/vulhub/vulhub/tree/master/shiro/CVE-2016-4437输入账号密码，勾选 Remember me，点击登录可以看到响应中有 deleteMe
在这个请求上右键，选择 Send to BCheck editor点击 Run test，可以看到在 issue activity 上已经有结果了可以看到，已经成功检测到该漏洞了
没问题了，可以点Save&close保存成一个bcheck脚本。接下来再写一个主动检测 shiro框架的脚本，代码如下：

metadata: language: v1-beta name: "Shiro Cookie Check Active" description: "Detects Shiro Vulnerability by Manipulating Cookie" author: "timeshatter" tags: "Shiro,active"
define: shiroExploit = "rememberMe=1" issueDetail = "Shiro Cookie Exploit Detected: rememberMe=deleteMe" issueRemediation = "Immediately investigate and fix the Shiro vulnerability."
given request then send request called check: replacing headers: "Cookie": {shiroExploit} if "rememberMe=deleteMe" in {check.response} then report issue: severity: info confidence: certain detail: {issueDetail} remediation: {issueRemediation} end if第13行的 given request 为主动发送一个请求进行检测，也就是主动的检测，当我们对某个请求进行扫描时会调用，第16行处替换请求头的内容为rememberMe=1 ，18行处检测如果 rememberMe=deleteMe 在响应内容中，刚报告漏洞。同样的，我们把一个正常的请求发送到 BCheck editor成功发现漏洞点击Logger可以看这次发送的检测请求，也可以用来调试是否有问题BCheck脚本的编写教程就写到这里，下面是我写的一些检测 shiro和 spring漏洞的 bcheck脚本，在 github上：https://github.com/QdghJ/burpsuite-bchecks还有官方的BChecks库：https://github.com/PortSwigger/BChecks欢迎大家编写poc提交到我的仓库或者官方的仓库，丰富漏洞库，这样就不用再开额外的扫描器了，直接 burpsuite 一把梭。虽然现在 BCheck 脚本刚出来不久，还有一些 bug，功能也不算很强大，但基本可以满足我们对漏洞检测，毕竟检测漏洞也就是发送请求，然后检测响应内容，相信在以后可以得到广泛应用。