实战指南：如何用BurpCrypto插件爆破前端自定义加密（附完整配置流程）
最近在渗透测试和漏洞挖掘的过程中，我越来越频繁地遇到一种情况：目标应用的前端登录或关键请求参数，不再是简单的明文传输，而是经过了各种自定义的加密处理。这不再是简单的MD5或SHA1，可能是多层MD5、AES、RSA，甚至是开发者自己魔改的混合加密算法。面对这种场景，传统的Burp Suite Intruder模块自带的编码器（如MD5、SHA1）就完全失效了，手动编写脚本又太慢，严重影响了测试效率。如果你也为此头疼，那么今天分享的这套基于BurpCrypto插件的实战流程，或许能成为你的“破壁”利器。这篇文章主要面向有一定Burp Suite使用基础的安全测试人员、渗透测试工程师和Web应用安全爱好者，旨在提供一个从零开始、手把手配置，到最终成功爆破加密参数的完整解决方案，重点在于解决“如何用”和“如何高效用”的问题。
1. 理解前端自定义加密与爆破挑战
在深入工具使用之前，我们必须先厘清我们面对的是什么，以及为什么常规方法会失效。前端加密，顾名思义，是数据在离开浏览器、发送到服务器之前，在客户端（通常是JavaScript）完成加密的过程。其目的多种多样，可能是为了增加数据传输的“混淆度”，防止简单的流量嗅探；也可能是为了满足某些合规要求，或者仅仅是开发者出于“安全考虑”而添加的。
这里有一个关键点需要明确：前端加密本身并不能替代后端验证。密码的校验、会话的维持，最终决定权仍在服务器。因此，前端加密更像是一道“门禁”，它改变了钥匙（密码）的形态，但锁芯（后端验证逻辑）本身可能依然脆弱。我们的目标，就是找到方法，批量制造出能通过这道门禁的“钥匙模子”。
那么，挑战在哪里呢？假设一个登录请求，其password参数的值是abc123经过一个自定义函数encrypt()处理后的结果。当你用Intruder进行爆破时，如果你直接加载一个包含abc123、admin、password等常见密码的字典，Intruder会原封不动地将这些字符串作为password参数的值发送出去。服务器收到的是abc123，而它期望的却是encrypt("abc123")的结果，自然全部失败。
注意：面对前端加密，首要任务永远是逆向分析加密逻辑。任何自动化工具都只是执行者，你必须先告诉它“如何加密”。本文假设你已经通过代码审计、动态调试（如使用浏览器开发者工具、Fiddler、或专门的JS调试工具）成功定位并理解了前端的加密函数。这是所有后续操作的前提。
常见的加密类型包括：
- 标准哈希：如MD5、SHA系列。Burp Intruder内置支持，但如果是加盐（Salt）哈希，则需特殊处理。
- 多层哈希或自定义组合：例如
MD5(MD5(password) + salt)或SHA256(password + timestamp)。 - 对称加密：如AES、DES。需要密钥（Key）和可能需要的初始化向量（IV）。
- 非对称加密：如RSA。通常使用固定的公钥加密。
- 完全自定义或混淆的算法：开发者自己编写的加密函数，可能混合了多种操作。
2. BurpCrypto：核心工具的选择与优势
面对自定义加密，社区诞生了多款优秀的Burp Suite插件，例如jsEncrypter和BurpCrypto。它们核心思路相似：让Burp能够调用JavaScript加密函数，对Payload进行实时加密。但两者的实现路径和易用性有显著区别。
为了更清晰地对比，我们将其核心差异总结如下：
| 特性维度 | jsEncrypter | BurpCrypto |
|---|---|---|
| 工作原理 | 依赖独立的phantomjs无头浏览器作为服务端，执行JS代码并返回结果。 | 内置了JavaScript执行引擎（如Rhino），直接在Burp插件环境内执行JS。 |
| 部署复杂度 | 较高。需要单独下载、配置phantomjs，并确保其服务正常运行。 | 较低。通常只需加载一个JAR文件，无需管理外部进程。 |
| 执行效率 | 相对较慢。每次加密涉及进程间通信（Burp <-> phantomjs）。 | 相对更快。内存中直接执行，无额外进程开销。 |
| 环境模拟 | 强。phantomjs是一个完整的浏览器环境，能完美模拟浏览器DOM、BOM等对象。 | 弱。依赖于内置JS引擎，对浏览器特有对象（如window、document）支持有限或需模拟。 |
| 适用场景 | 加密函数极度依赖浏览器环境，或代码混淆严重、难以剥离。 | 加密逻辑相对独立，可以较容易地提取为纯JavaScript函数。 |
为什么本文选择以BurpCrypto作为核心进行讲解？在大多数实战场景中，前端加密函数虽然可能被混淆，但其核心算法通常是可以被提取并独立运行的。BurpCrypto的“一体化”设计避免了外部依赖带来的配置繁琐和稳定性问题，使得整个测试流程更加简洁、快速。尤其是在需要高速爆破的场景下，减少一次网络或进程通信，就意味着显著的效率提升。
当然，如果你的目标加密函数确实严重依赖window、location等浏览器对象，并且无法通过简单补全这些对象来模拟，那么jsEncrypter仍然是必要的备选方案。但根据我的经验，八成以上的自定义加密场景，BurpCrypto都能胜任。
3. 实战第一步：BurpCrypto的安装与环境准备
工欲善其事，必先利其器。首先我们需要获取并安装BurpCrypto插件。
- 获取插件：访问BurpCrypto的GitHub发布页面（例如
https://github.com/whwlsfb/BurpCrypto/releases），下载最新版本的BurpCrypto-xxx.jar文件。请务必从官方或可信源下载，以确保安全。 - 安装到Burp Suite：
- 启动你的Burp Suite（社区版或专业版均可）。
- 切换到
Extender标签页。 - 点击
Add按钮。 - 在弹窗中，将
Extension type选择为Java。 - 点击
Select file...，找到并选择你刚才下载的JAR文件。 - 点击
Next，Burp会加载该插件。如果加载成功，你会在Loaded列表中看到BurpCrypto，并且Output区域会显示相关的加载日志（可能提示缺少某些依赖，但通常不影响核心加密功能）。
安装完成后，你会在Burp的主界面顶部菜单栏看到一个新的菜单项Crypto，同时在Intruder攻击的Payload Processing界面，也会增加可用的处理器类型。这表明插件已经成功集成。
提示：如果在加载过程中遇到错误，请检查你的Burp Suite Java版本是否与插件兼容。通常，使用较新版本的JDK 8或JDK 11可以解决大部分兼容性问题。
4. 核心配置：将你的加密函数“教”给BurpCrypto
这是整个流程中最关键、也最需要耐心的一步。你需要把从前端逆向出来的JavaScript加密函数，正确地配置到BurpCrypto中。
假设我们逆向出的加密函数如下（这是一个模拟的多层MD5示例）：
function customEncrypt(input) { // 第一层MD5 var step1 = md5(input); // 加上一个固定盐值 var step2 = step1 + "MyFixedSalt123"; // 对拼接后的字符串再做一次MD5 var finalResult = md5(step2); return finalResult; } // 注意：这里假设全局存在一个 md5() 函数在实际环境中，md5函数可能来自某个库（如CryptoJS），你需要确保这个函数在BurpCrypto的执行环境中可用。有两种方式：
方式一：使用内置算法BurpCrypto预置了一些常见加密算法（如AES、DES、MD5、SHA等）。如果加密是标准算法，可以直接选用。但对于我们上面的customEncrypt，它是自定义组合，所以需要方式二。
方式二：自定义JavaScript代码（最常用）
- 在Burp中，点击顶部菜单
Crypto->Crypto Processor。 - 会打开一个处理器管理界面。点击
Add新建一个处理器。 - 在弹出的配置窗口中，你需要填写几个关键部分：
Processor name：给你这个加密配置起个名字，例如 “TargetSite_Login_Encrypt”。Crypto type：选择Exec JS。这表示我们将执行自定义JS代码。Exec JS代码框：这里粘贴你的完整、可独立运行的JavaScript加密代码。这不仅仅是加密函数本身，还必须包括该函数所依赖的所有辅助函数或库。- 如果原代码使用了
CryptoJS，你需要将CryptoJS的核心库代码也粘贴进来，或者使用BurpCrypto可能内置的对应对象（需查阅插件文档）。 - 对于上面的例子，我们需要提供一个
md5的实现。可以从网上找一个纯JavaScript的MD5函数，一起粘贴进去。最终代码框内容可能如下：
// 粘贴一个完整的MD5函数实现，例如来自 https://github.com/blueimp/JavaScript-MD5 function md5(input) { ... } // 此处是完整的md5函数代码 // 我们的自定义加密函数 function customEncrypt(input) { var step1 = md5(input); var step2 = step1 + "MyFixedSalt123"; var finalResult = md5(step2); return finalResult; } // 最后，必须返回一个函数，该函数接受一个字符串参数并返回加密结果 // BurpCrypto会调用这个返回的函数 (function(input) { return customEncrypt(input); })- 如果原代码使用了
Function name（有时是Invoke method）：这里要填写BurpCrypto最终调用哪个函数。在我们上面的代码示例中，整个最后一段是一个匿名函数(function(input){...})。如果配置项要求填写函数名，而我们的代码是返回一个函数表达式，这里可能需要留空或填写特定的占位符，具体需根据插件版本的UI而定。更稳妥的做法是，将加密函数直接赋值给一个全局变量：
然后在// ... md5函数 ... // ... customEncrypt函数 ... // 将加密逻辑赋给一个全局函数变量 `encryptFunc` encryptFunc = function(input) { return customEncrypt(input); };Function name处填写encryptFunc。
- 填写完毕后，可以点击
Test按钮进行测试。在Input框输入一个测试明文（如test123），点击Execute，如果下方Output框正确显示了加密后的密文，并且与你用浏览器或独立脚本计算的结果一致，那么配置就成功了。点击Save保存此配置。
5. 在Intruder攻击中集成加密处理器
配置好加密函数后，我们就可以在爆破中使用了。
- 拦截并发送到Intruder：首先，像往常一样，在Burp Proxy中拦截到包含加密参数的请求（例如登录请求），右键选择
Send to Intruder。 - 设置攻击类型和位置：在
Intruder->Positions标签页，选择攻击类型（如Sniper或Cluster bomb），并标记好需要爆破的参数位置。通常，你只需要将加密后的密码参数值（如password=encrypted_value中的encrypted_value）标记为Payload位置即可，用户名或其他参数可以清除标记或设为固定值。 - 配置Payload处理：切换到
Payloads标签页。这是关键步骤。- 在
Payload Sets中，选择你的Payload类型（如Simple list并加载你的密码字典）。 - 向下滚动到
Payload Processing区域。点击Add。 - 在弹出的规则选择列表中，你应该能看到一个以
BurpCrypto开头的选项，其子选项里就有你刚才保存的处理器名称（如TargetSite_Login_Encrypt）。选中它。 - 点击
OK，这个处理器就被添加到了处理规则链中。你可以通过Up/Down按钮调整顺序（通常一个Payload只需要这一个处理规则）。
- 在
- 发起攻击：完成以上设置后，点击
Start attack按钮。Intruder会从你的字典中读取每一个密码（明文），然后通过你配置的BurpCrypto处理器，调用那个JavaScript函数，将其加密成密文，最后将密文替换到请求参数中发送出去。
在攻击结果窗口中，你可以通过观察响应长度、状态码、或使用Grep - Match提取关键信息（如“登录成功”的提示）来判断哪个Payload是正确的。
6. 解决密文-明文对照问题与实战技巧
爆破成功，你得到了一个成功的请求，但Intruder结果表里显示的是加密后的Payload（密文）。你怎么知道这个密文对应的是哪个原始密码（明文）呢？BurpCrypto提供了非常方便的解决方案。
在Intruder的攻击结果界面，找到那个成功的请求行，在Payload这一列，你看到的是密文。右键点击这个密文单元格，在右键菜单中，依次选择Extensions->BurpCrypto->Get PlainText（具体菜单名可能略有不同）。插件会自动弹出一个窗口，显示这个密文所对应的原始明文Payload。这功能省去了你手动去字典里对照行号的麻烦。
除了这个基本流程，还有一些实战技巧能提升效率：
- 批量测试与调试：在
Crypto Processor的测试窗口，可以批量输入多行测试数据，验证加密函数对一系列输入的输出是否正确，这比在Intruder里试错要快得多。 - 处理动态参数：有些加密函数不仅依赖密码本身，还可能依赖一个前端随机生成的
token或timestamp。你需要分析这个动态参数是独立发送的（例如在另一个字段或Cookie中），还是作为加密函数的一部分。如果是后者，你可能需要先获取这个动态值，然后修改你的JS加密函数，使其能接受两个输入（如function encrypt(password, timestamp){...}），但这需要更复杂的配置，有时需要结合Burp的Session Handling Rules或编写更高级的插件脚本。 - 性能考量：JavaScript执行毕竟比原生代码慢。当字典非常大时（数十万以上），加密过程可能成为瓶颈。可以考虑：
- 在BurpCrypto配置中优化JS代码，移除不必要的计算。
- 如果加密算法固定，可以先用外部脚本（如Python）将整个字典预加密成一个新的“密文字典”，然后在Intruder中直接加载这个密文字典作为Payload，并禁用Payload处理。这适用于一次性、大规模的爆破。
- 错误排查：
- 加密结果不一致：99%的问题出在JS代码上。检查你是否完整复制了所有依赖函数；检查代码中是否有依赖浏览器全局对象（如
window、document、location），在BurpCrypto的沙箱环境中这些可能不存在或为null，需要你手动模拟或剔除相关代码。 - 插件无响应或报错：检查Burp的
Extender->Output标签页，看是否有JavaScript执行错误。常见的错误是语法错误或未定义的函数/变量。
- 加密结果不一致：99%的问题出在JS代码上。检查你是否完整复制了所有依赖函数；检查代码中是否有依赖浏览器全局对象（如
最后，我想分享一个自己踩过的坑。有一次遇到一个加密，算法很简单，但BurpCrypto加密的结果总是和浏览器差一位。折腾了很久才发现，前端代码里对加密后的字符串进行了一次Base64编码，而我在提取JS函数时，想当然地认为输出的是十六进制字符串，漏掉了最后这步编码。所以，逆向时必须一丝不苟，从原始输入到最终网络包中的输出，每一步变换都要清晰。BurpCrypto这类工具是强大的执行者，但它无法弥补分析阶段遗漏的细节。把加密逻辑完整、准确地还原出来，才是成功爆破前端自定义加密最坚实的第一步。
