MirajulHaque/AARE

# Adaptive Anti-Replay Engine (AARE) 由 Md Mirajul Haque Miraj 开发 — 网络安全顾问 Adaptive Anti-Replay Engine (AARE) 是一款高级的 Burp Suite 扩展，旨在通过自动重新生成短生命周期 token，绕过现代防重放和动态请求验证机制。 该工具专为安全专业人员、红队成员和渗透测试人员设计，适用于测试受动态请求验证技术保护的 API。 ## ⚡ 快速开始（推荐） 1. 下载最新的发布文件：AARE.jar 2. 打开 Burp Suite 3. 导航至： Extender → Extensions → Add 4. 配置： 类型：Java 选择文件：AARE.jar 5. 启用扩展并配置特定目标的参数 ## 🚀 功能特性 - 具备动态 TTL 学习能力的自适应 token 重新生成 - 认证失败（401 响应）时自动重试 - 完全可自定义的请求和响应头支持 - 对未知或混淆的 token 头进行启发式检测 - 用于测试防重放保护的重放模拟模式 - 适用于 Intruder 和高强度测试的线程安全设计 - 内部请求隔离，防止递归和无限循环 - 内置日志记录面板，用于实时调试 - Clear Logs 按钮，可即时重置扩展日志 ## ⚙️ 工作原理 许多现代 API 使用动态生成的 token 来实现防重放或反自动化保护。这些 token 通常具有以下特点： - 按请求或会话生成 - 嵌入在请求头或响应中 - 生命周期短（在几秒钟内过期） - 后续 API 调用时必须提供 AARE 自动化了整个过程： 1. 拦截传出的 HTTP 请求 2. 发送预检请求（通常是 OPTIONS 或类似请求） 3. 从响应头中提取动态值 4. 应用所需的编码逻辑（默认：双重 Base64） 5. 将生成的值注入目标请求头中 6. 发送修改后的请求 7. 如果请求失败（例如 401 Unauthorized），它会自动重新生成并重试 ## 🧪 使用说明 在 Burp Suite 中配置该扩展： | 设置 | 描述 | |--------|------------| | Enable | 激活或停用扩展 | | Replay Mode | OFF 表示绕过，ON 表示测试重放保护 | | Host | 目标 API 域名（例如，api.example.com） | | Path | 可选的 endpoint 筛选器 | | Request Header | 将注入 token 的请求头 | | Response Header | 从中提取 token 的响应头 | ## 🔍 识别正确的 Headers ### Request Header 寻找具有以下特征的请求头： - 频繁变化 - 呈现编码或随机化形式 - 是请求验证所必需的 示例： - Authorization - X-CSRF-Token - X-Auth-Token - X-Request-Signature - 自定义 headers（例如，Sxsrf, Nxsrf, Cusxsrf） ### Response Header 寻找具有以下特征的响应头： - 随每次请求变化 - 包含长的编码值 - 出现在预检或初始响应中 通常是： - API 生成的 token - CDN/WAF 验证头 - 后端生成的动态值 ## 🧠 日志记录与调试 AARE 包含一个内置的日志记录面板，可帮助实时分析行为。 - 记录 token 生成事件 - 记录重试尝试 - 显示错误和回退行为 您可以使用 **Clear Logs** 按钮在测试期间重置日志，保持输出整洁。 ## 🧠 Replay 模式（研究功能） Replay 模式允许测试防重放保护。 启用后： - 刻意重复使用 token - 有助于识别： - 薄弱的重放保护 - Token 重用漏洞 - 不当的会话绑定 ## 🛠 从源码构建 javac -cp burpsuite_pro.jar src/BurpExtender.java jar cf build/AARE.jar *.class ## 📁 项目结构 AARE/ ├── src/ │ └── BurpExtender.java ├── build/ │ └── AARE.jar ├── docs/ │ └── USAGE.md ├── README.md ├── LICENSE ├── .gitignore ## ⚠️ 重要提示 - Replay 模式仅用于测试 - 正确识别请求头至关重要 - 行为取决于后端保护机制 ## 🔐 免责声明 本工具严格仅用于授权的安全测试和研究目的。 作者不对滥用或未经授权的活动负责。 ## 👨‍💻 作者 Md Mirajul Haque Miraj 网络安全顾问 LinkedIn: https://www.linkedin.com/in/mdmirajulhaque/ ## 📜 许可证 MIT License ## ⭐ 支持 如果您觉得此工具有用： - 给仓库加星 - 贡献改进 - 分享反馈 ## 🚀 未来改进 - 编码策略选择器 - 自动请求头检测 - 多目标配置 - 高级重放模拟 - UI 增强

标签：API 安全测试, APP 安全, Burp Suite 插件, CISA项目, Heuristic Detection, HTTP 请求拦截, IP 地址批量处理, Java 开发, JS文件枚举, PE 加载器, Web 安全, 动态令牌, 动态防御机制, 域名枚举, 安全防御绕过, 接口安全, 流量修改, 网络安全, 防重放绕过, 隐私保护