開源 • 即時同步 • 無需電腦端代理

ApiCatcher for Burp Suite Extension

只需在 iPhone/iPad 上使用 ApiCatcher App，並在 Burp Suite 上安裝此外掛，即可實現將 iOS 端捕獲的 HTTP/HTTPS 流量即時同步至 Burp Suite 上分析。

為什麼需要它？

使用ApiCatcher在iOS上抓包無需電腦端代理，基於 VPN 機制攔截流量，告別繁瑣的代理配置。使用ApiCatcher的Burp Suite外掛，可以將ApiCatcher捕獲的流量透過 WebSocket 協議毫秒級同步至您的 Burp Suite 中。

如何安裝和使用？

第一步：在 Burp Suite 中載入外掛

下載本專案的 .jar 包（前往GitHub下載，或自己下載原始碼編譯）。打開 Burp Suite，進入 Extensions -> Installed 標籤頁，點擊 Add，在 Extension Details 中選擇 Extension type 為 Java，然後選擇您下載的 .jar 檔案進行載入。

第二步：配置同步參數

外掛載入成功後，頂部會出現 ApiCatcher 專屬標籤頁。您需要在這裡確認WebSocket同步服務已啟動，未啟動可點擊 Start Server 啟動 WebSocket 同步服務。啟動後，打開 iOS 端的 ApiCatcher App，點擊首頁右上角的‘+’按鈕，在彈出選單中選擇“即時同步”，切換至“Burp Suite”或“自訂接收器”，掃描螢幕上的行動條碼或手動輸入地址，即可建立連接。預設流量同步至Burp Suite的Sitemap，您可以將同步目標切換至Burp Suite的Proxy History。

第三步：查看目標站點結構 (Sitemap)

當 iOS 端開始抓包時，請求將自動同步到 Burp Suite。您可以在 Target -> Site map 中看到即時同步過來的域名和介面層級結構，方便您快速了解目標 App 的 API 概況。

第四步：在 Proxy History 中分析請求

當您將同步目標切換至“Proxy History”時，所有的 HTTP/HTTPS 流量會同步顯示在 Proxy -> HTTP history 中。您可以像分析電腦端流量一樣，在這裡查看請求/響應的詳細內容，並將關鍵請求發送到 Repeater 或 Intruder 進一步測試。需要注意，同步至Proxy History的請求會被添加一個請求頭“X-ApiCatcher-RequestId”。

第五步：查看運行日誌

如果遇到同步問題，您可以回到 Extensions -> Installed 頁面，選中 ApiCatcher 外掛，在下方的 Output 和 Errors 面板中查看詳細的日誌輸出資訊。