文章总结： 文章推荐Burp_Parsing插件用于自动化提取HTTP响应中的未公开API接口并进行批量未授权验证。工具集成被动提取、请求重组、智能参数填充及多线程测试功能，能有效提升安全测试效率。文中还提及该插件合并了URLReplayer功能，并附带作者付费社群推广及过往免杀、内网渗透等工具资源介绍。
综合评分： 84
文章分类： 安全工具,渗透测试,WEB安全
工具推荐 | Burp_Parsing深度扫描HTTP响应，自动化提取与验证未公开API接口
w-sega
w-sega
星落安全团队
2026年2月28日 00:01
黑龙江
点击上方蓝字关注我们
现在只对常读和星标的公众号才展示大图推送，建议大家能把星落安全团队“设为星标”，否则可能就看不到了啦！
【声明】本文所涉及的技术、思路和工具仅用于安全测试和防御研究，切勿将其用于非法入侵或攻击他人系统以及盈利等目的，一切后果由操作者自行承担！！！
背景介绍
URLReplayer现已合并到Burp_Parsing。覆盖场景更全面，一键提取参数、发包，快速完成未授权验证。
Burp_Parsing是一个burp插件，一个用于自动化 API 接口提取、参数解析及批量验证 的 Burp Suite 插件。旨在从 HTTP 响应中快速挖掘未公开的 API 端点并进行有效性测试。
✨ 核心功能
1. Analysis (Parsing) – 智能提取与构造
-
被动提取
：通过右键菜单
Extract to API Hunter，自动从 HTTP 响应包中正则提取潜在的 API 路径（Endpoints）和参数。 -
请求重组
：自动将提取的接口重组为可测试的 HTTP 请求。
-
智能填充
：自动识别
page,id,size等常见参数并填充测试值。 -
格式转换
：支持一键在
GET(Query String) 和POST(JSON Body) 之间切换。 -
联动
：支持将重组后的请求发送至 Burp Repeater 或插件自带的 Batch Replayer。
2. Batch Verification (Replayer) – 批量验证与扫描
-
被动监听
：支持开启
Listening模式，实时监听 Proxy 流量，自动捕获响应中的 API 路径及 Swagger 文档定义的接口。 -
批量发包
：多线程并发测试捕获的接口，快速验证接口存活状态（Status Code）及响应长度。
-
过滤与配置
：
-
智能过滤
：自动忽略静态资源（.js, .css, .png）及指定域名（如 google.com）。
-
自定义头
：支持添加 Custom Headers（如 Auth Token）覆盖默认设置。
-
可视化结果
：提供结果表格排序，支持点击查看详细 Request/Response 报文。
🚀 快速使用
-
加载插件
：在 Burp Extender 中加载
Burp_Parsing.py(需 Jython 环境)。 -
提取接口：
- 在 Proxy/Repeater 历史记录中，右键点击响应包 -> Extract to API Hunter (Parsing)。
- 分析与发送：
- 进入 Analysis (Parsing) 标签页，查看提取结果。
- 右键选中接口 -> Send to Batch Replayer。
- 批量验证：
- 进入 Batch Verification (Replayer) 标签页。
- (可选) 填写 Custom Headers。
- 点击 Send Request (Batch) 开始扫描。
URLReplayer历史
使用方法
下载URLReplayer.py，在burp中添加extensions
默认开启监听，shift可选中多个要测试的url，点击send。未配置请求头即默认来源的请求头包含cookie，右侧的请求列表右键可发送到repeater
支持了右键自由选择来源的默认请求、get post请求、发送到repeater、删除。支持了按响应长度排序，新增搜索功能、自定义请求头。下方配置白名单地址：-
自定义请求头：
相关地址
关注微信公众号后台回复“入群”，即可进入星落安全交流群！
关注微信公众号后台回复“20260228”，即可获取项目下载地址！
圈子介绍
博主介绍：
目前工作在某安全公司攻防实验室，一线攻击队选手。自2022-2024年总计参加过30+次省/市级攻防演练，擅长工具开发、免杀、代码审计、信息收集、内网渗透等安全技术。
目前已经更新的免杀内容：
-
部分免杀项目源代码
-
星落安全内部免杀工具箱1.2.1
-
GoCobaltStrike星落专版2.0
-
一键击溃windows defender
-
一键击溃火绒进程
-
CobaltStrike免杀加载器
-
数据库直连工具免杀版
-
aspx文件自动上线cobaltbrike
-
jsp文件自动上线cobaltbrike
-
哥斯拉免杀工具 XlByPassGodzilla
-
冰蝎免杀工具 XlByPassBehinder
-
冰蝎星落专版 xlbehinder
-
正向代理工具 xleoreg
-
反向代理工具xlfrc
-
内网扫描工具 xlscan
-
Todesk/向日葵密码读取工具
-
导出lsass内存工具 xlrls
-
绕过WAF免杀工具 ByPassWAF
-
等等…
目前星球已满1100人，价格由208元调整为218元(交个朋友啦)，1200名以后涨价至268元。
往期推荐
3.新增全新Web UI版本，操作与管理全面升级 | GoCobalt Strike 2.0正式发布！
4.【免杀】原来SQL注入也可以绕过杀软执行shellcode上线CoblatStrike
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：星落安全团队 w-sega
w-sega《工具推荐 | Burp_Parsing深度扫描HTTP响应，自动化提取与验证未公开API接口》