Hetty

Hetty — это набор инструментов HTTP для исследований в области безопасности. Его цель — стать альтернативой с открытым исходным кодом коммерческому программному обеспечению, такому как Burp Suite Pro, с мощными функциями, адаптированными к потребностям сообщества специалистов по информационной безопасности и программ поиска уязвимостей.

📐Характеристики:
📉 Hetty является бесплатным аналогом, написаным на GO, что делает его более оптимизированым, чем проприетарный Burp Suite написаный на Java.
📉 HTTP Proxy и MITM
📉 Request sender (Repeater в Burp). Также можно редактировать запрос и смотреть на реакцию сервера.
🖱 Использование SQLite для сохранения прогресса.

⬇️Установка:
0️⃣Клонируем репозиторий и переходим в рабочую директорию:

git clone https://github.com/dstotijn/hetty.git

cd hetty/

1️⃣Устанавливаем необходимые утилиты и пакетный менеджер:

sudo apt install nodejs npm -y

sudo npm install --global yarn

2️⃣Собираем проект:

make build

⛓️‍💥Запуск:

./hetty

#web #wapt #burpsuite #http

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

💻 Turbo Intruder — быстрый генератор HTTP-запросов для Burp Suite

Turbo Intruder — расширение для Burp Suite от PortSwigger для отправки большого количества HTTP-запросов и анализа ответов. Он рассчитан на задачи, где стандартного Burp Intruder недостаточно по скорости или гибкости.

❓ Turbo Intruder vs Burp Intruder
Burp Intruder удобнее для стандартного fuzzing: выбрать позиции, загрузить payload'ы и сразу анализировать результаты.

Turbo Intruder больше подходит для сложных и масштабных задач. Python позволяет самостоятельно управлять генерацией запросов, их последовательностью и обработкой ответов.

Проще говоря: Intruder — для типового fuzzing, Turbo Intruder — для нестандартных и высоконагруженных HTTP-тестов.

🎇 Как работает
Turbo Intruder поддерживает несколько движков:

▶️Engine.THREADED — собственный быстрый HTTP/1.1-стек.
▶️Engine.BURP — использует HTTP-стек Burp Suite.
▶️Engine.BURP2 — работает с HTTP/2 и подходит для некоторых сценариев с race conditions.

🪧 Где полезен
Turbo Intruder особенно интересен для тестирования race conditions, rate limiting, авторизации, нестандартных HTTP-запросов и сложных последовательностей действий.

Также его удобно использовать для массового fuzzing, когда требуется отправить большое количество запросов и отфильтровать неинтересные ответы.

🔎 Пример

def queueRequests(target, wordlists):
engine = RequestEngine(
endpoint=target.endpoint,
concurrentConnections=5,
requestsPerConnection=100,
engine=Engine.THREADED
)

for word in open('/usr/share/dict/words'):
engine.queue(target.req, word.rstrip())


def handleResponse(req, interesting):
table.add(req)

Здесь Turbo Intruder перебирает значения из словаря и отправляет их в исходный запрос, а результаты передаются в таблицу для дальнейшего анализа.

⬇️ Установка
Turbo Intruder устанавливается как расширение для Burp Suite. Исходный код и документация доступны в официальном репозитории PortSwigger.

#BurpSuite #TurboIntruder #Pentest #WebSecurity #BugBounty #AppSec #Cybersecurity #InfoSec

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером