渗透神器！BurpAPIFinder 自动扒接口 + 查敏感信息，效率拉满

做渗透测试的朋友都懂，手动翻 JS 找接口、查敏感信息有多折磨人。

页面上看不到的接口藏在 JS 路由里，后台路径埋在配置文件中，账号密码、云密钥、Token 等敏感数据说不定就明晃晃漏在响应里…… 一个个翻、一个个试，不仅慢还容易漏。

今天给大家安利一款专为渗透测试打造的 Burp 插件 ——BurpAPIFinder，不用复杂配置，挂着代理跑一跑，前端接口全梳理、敏感信息全标记，直接解放双手！

插件到底能干嘛？核心功能一目了然

BurpAPIFinder 是基于 Burp Suite 开发的接口发现与敏感信息识别插件，全程监听代理流量，自动干活不添乱，核心能力超实用：

1. 
   
2. 2、一站式敏感信息排查
   
   内置 106 条攻防实战指纹，还集成 HaE、APIKit、sweetPotato 三大主流规则，账号密码、手机号、身份证、云 KEY、JWT、Shiro 特征全不放过。
3. 
   
4. 3、智能路径补全探测
   
   支持自定义父路径，自动把发现的接口拼接到 /api/v1、/admin 等前缀下重试，专治前后端分离、版本化接口。
5. 
   
6. 4、可视化结果一键筛选
   
   主界面实时展示请求数据，支持 “只看重点”“只看敏感内容”“只看 200 状态”，海量接口快速收敛，重点漏洞优先查。
7. 
   
8. 5、带凭证自动复测
   
   可自定义 Cookie、Authorization 请求头，匿名访问不通的接口，带凭证自动重测，不放过未授权访问漏洞。
9. 
   
   

插件全程只监听 Burp Proxy 响应包，不修改原始请求，测试更安全，核心流程超清晰：

1. 监听 Burp 代理流量，读取 URL、请求方法、状态码、响应内容；
2. 自动过滤静态文件、白名单路径、3xx/404 无效响应，减少噪声；
3. 从 HTML/JS 中提取接口路径，存入本地 SQLite 数据库；
4. 调用指纹规则匹配敏感信息，在界面标记结果，方便人工复核。

整体模块分工明确，Proxy 监听、路径提取、任务调度、指纹识别、结果存储各司其职，运行稳定不卡顿。

5 分钟快速上手，零门槛即用

1. 下载插件

前往项目 GitHub Releases 页面，直接下载编译好的 jar 包，要求 JDK 9 + 环境，新版 Burp 直接兼容。项目地址：https://github.com/shuanx/BurpAPIFinder

2. Burp 加载插件

打开 Burp Suite → Extensions → Installed → Add → Java → 选择下载的 BurpAPIFinder jar 包，加载成功后会出现专属标签页。

3. 开始自动扫描

浏览器配置 Burp 代理，正常访问目标站点，插件自动监听流量、提取接口、识别敏感信息，全程无需手动操作。

4. 查看与筛选结果

主界面展示请求总数、JS 解析成功数等数据，通过筛选按钮快速定位重点接口与敏感内容，人工验证效率翻倍。

5. 自定义配置（可选）

在配置页调整敏感关键词、开启主动探测、设置自定义父路径；旧版本升级需删除同目录下 BurpAPIFinder.db 和 finger-tmp.json，避免冲突。

6. 手动编译（可选）

喜欢折腾的朋友可拉取源码，用 Maven 一键打包：

git clone https://github.com/shuanx/BurpAPIFinder.gitcd BurpAPIFindermvn package

1. 前端接口资产梳理

访问首页、登录页、管理页，插件自动整理 JS 中所有接口路径，快速完成资产面摸底，不用手动复制粘贴。

2. 敏感信息泄漏排查

一键扫描响应包，精准定位账号、密码、云密钥、凭证、身份证等敏感数据，排查泄漏漏洞快准狠。

3. JS 路径智能补全

针对 /api、/api/v1 等网关前缀，自动拼接路径重试，轻松找到常规扫描遗漏的版本化接口。

4. 授权接口未授权检测

配置凭证后自动复测，快速发现匿名访问受限、带凭证可获取数据的未授权 / 越权漏洞。

写在最后

Burp 原生流量视图只记录请求，而 BurpAPIFinder 完美补齐短板，把前端散落的接口和敏感线索全部收拢，转化为可筛选、可复测的清晰结果。

如果你还在手动翻 JS、试接口，这款插件绝对能让你的渗透测试效率直接翻倍，攻防演练、内网自查、靶场练习都能用得上。

最后提醒：本工具仅用于授权测试与安全自查，请勿用于非法攻击，合规使用，人人有责！

https://github.com/shuanx/BurpAPIFinder