大家好，我是悟空，又跟小伙伴们见面了。
今天介绍一款非常强大的越权漏洞检测工具：瞎越！
背景
公司对项目的安全性要求很高，对越权问题是 "0" 容忍，不论是大项目，还是小项目，如果在众测期间被测出安全问题，都会有高额奖金，所以才会出现有同事通宵找漏洞的故事。
这次空哥介绍一款 BurpSuite 的插件来提高检测越权的效率，名字很形象：瞎越！使用界面如下图所示：
BurpSuite 工具
首先这款插件是基于 BurpSuite 工具，BurpSuite 是一款功能强大的 Web 应用程序安全测试工具，由 PortSwigger 公司开发。它包含多种工具，可以用于拦截、检查和修改 Web 流量，是安全测试人员和渗透测试工程师的常用工具。
"瞎越"插件介绍
瞎越（XiaYue_Pro) 一款专为 Burp Suite 设计的越权漏洞检测插件，能够自动检测 Web 应用中的越权漏洞。插件通过对比不同权限级别下的响应差异，快速识别潜在的越权问题，为安全测试人员提供强大的自动化检测能力。github 地址：github.com/winezer0/Xi...
使用效果
如下图所示，这款插件可以非常方便的进行多权限对比，也就是说可以在 BurpSuite 界面上同时显示原始响应包、低权限响应包的长度，如果出现包长度相同，则说明可能有越权问题，需要重点查看。可以用来检测垂直越权、水平越权问题。
核心亮点功能
1. 🎯 智能越权检测
- 多权限对比: 自动对比原始权限、低权限、无权限三种状态下的响应
- 智能去重: 基于URL路径、HTTP方法和参数名的MD5去重，避免重复检测
- 响应长度分析: 自动分析响应长度差异，快速识别权限控制失效
2. 🔍 高级过滤系统
- HTTP方法过滤: 支持批量过滤特定HTTP方法（如OPTIONS、HEAD等）
- 接口路径过滤: 精确过滤指定接口路径，支持通配符匹配
- 白名单机制: 灵活的白名单配置，支持多域名批量配置
- 静态资源过滤: 自动过滤图片、CSS、JS等静态资源，提升检测效率
3. 🛠️ 参数替换引擎
- 智能参数替换: 支持GET和POST请求的参数动态替换
- 多格式支持: 兼容form-urlencoded、JSON等多种请求体格式
- 批量规则配置 : 支持多行参数替换规则，格式：
参数名=新值
4. 📊 可视化数据展示
- 实时数据表格: 清晰的表格展示，支持点击查看详细数据包
- 智能排序: 支持按ID、方法、URL、响应长度等多列排序
-
✔表示长度相同（可能存在越权）==>显示具体差异数值- 自动标识响应长度差异，用符号显示权限控制状态
5. 🔐 认证信息管理
- 低权限认证: 配置低权限用户的认证信息（Cookie、Token等）
- 未授权配置: 设置需要移除的认证字段
- 万能Cookie: 支持通用Cookie配置，适用于多种场景
- 右键提取: 右键菜单快速提取请求中的认证信息
6. 💾 配置持久化
- 自动保存: 所有配置自动保存到本地文件
- 重启恢复: 重启Burp Suite后自动恢复上次配置
- 快速配置: 右键菜单提供快速配置对话框
- 配置迁移: 支持配置文件的导入导出
7. ⚡ 性能优化
- 智能缓存: 预分割过滤数组，避免重复字符串操作
- 异步处理: 非阻塞式请求处理，不影响Burp Suite性能
- 内存管理: 自动清理旧数据，防止内存溢出
- 调试优化: 移除冗余日志输出，提升运行效率
本插件仅供安全测试和授权渗透测试使用，请遵守相关法律法规，不得用于非法用途。
使用瞎越插件
首先需要下载 release jar 包，我用的 V2.3 版本。
使用瞎越插件1
然后在 BurpSuite 中导入这个 Jar 包。
使用瞎越插件2
设置低权限 cookie
用 chrome 浏览器打开项目的网站，用低权限的账号登录系统，然后用 F12 开发者调试工具获取相关的 Cookie。
设置低权限 cookie1
把低权限的 Cookie 放到瞎越插件的越权区域：
设置低权限 cookie2
设置未授权访问
未授权访问就是没有配置正确 cookie或者压根没有配置过 cookie，所以可以使用瞎越插件的清理 cookie 的功能。
设置未授权访问
拦截请求
在 BurpSuite 的代理功能上点击 Open brower 用来拦截网站中的请求。
拦截请求1
用高权限账号登录系统，即可将所有请求都显示在瞎越插件的请求列表中。
拦截请求2
只用关注打钩的数据包，如果打勾了，可能有越权问题，但是概率比较小。
为什么是可能越权呢？因为有些请求，不论是高权限还是低权限访问，还是未授权访问，都有可能返回相同的结果。常见的有这几种情况：
- 三种接口都是响应失败，返回的响应结果相同。
- 高权限也没有权限访问的接口，导致三种权限的响应结果相同。
- 响应的内容不同，但是内容的长度相同。
总结
- 痛点：人工审计越权耗时、易漏报，已无法满足企业对「0 容忍」的高标准。
- 方案：瞎越插件以"三权限并行比对 + 响应长度差异"为核心，实现垂直/水平越权自动化定位，并辅以去重、过滤、参数替换等 7 大模块，可无缝嵌入 Burp Suite。
- 落地：下载 v2.3 JAR → 导入 Burp → 填入低权限 Cookie/Token → 启用未授权模式 → 高权限遍历业务，一键聚焦标✔的高危请求。
- 收益：检测效率提升 10× 以上，误报率通过白名单与过滤规则可控，配置持久化保证跨会话复用。
- 提醒：标✔结果仍需人工复核；务必在测试环境操作，定期清理日志、备份配置，确保性能与合规。
在键盘与烟火之间
之前养了一条金鱼，是五一劳动节去金银湖半岛庄园抓的，名字叫小橙，当然，这个名字肯定是娃起的。养了 4 个月了，为了让它有个更好的环境，换了一套新的鱼缸装备，然后买了6 条小鱼和它作伴。
娃很喜欢这些小鱼，喂食都是他负责的，不让大人喂食。
他说不想上小学，我们问他为什么不想上，他说要适应新环境（新学校）。
这让我联想到了小鱼，这条养了 4 个月的鱼，从小桶换到了大桶，然后换到了大的金鱼缸，小鱼也在适应新的环境，加入的 6 条小鱼也是它的同伴，类比小学同学。
从养鱼的过程当中，大人和小孩都感受到了很多，这是一件非常意义的事情～
这一周最重要的事情就是娃上一年级了，步入小学阶段了，加油吧，少年！