AuthKit — 首个多维度辅助检查鉴权安全的burpsuite插件 | 辅助发现未授权访问、水平越权、垂直越权及 BOLA / IDOR 风险

youmulijiang
youmulijiang

夜组安全

2026年10月15日 07:30
青海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

免责声明

由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！所有工具安全性自测！！！VX：NightCTI

朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把夜组安全“设为星标”，否则可能就看不到了啦！

工具介绍

AuthKit 通过多身份重放与多维度响应对比，辅助发现未授权访问、水平越权、垂直越权及 BOLA / IDOR 风险，减少重复发包和手工比对。

AuthKit 2.0：品质升级，优化响应归一化与越权评分算法，增强 AI 辅助分析，提升检测效率与使用体验。

核心功能

• 多身份对比：以 Original / Unauthorized / 多用户 重放请求，支持认证头与参数替换。
• 响应评分：默认展示 Rank，归一化处理动态噪声，结合响应差异筛选可疑接口。
• AI 辅助分析：按需读取数据包、对话分析与批准后发包验证，支持会话保存。
• 专项扫描：403 Bypass、IDOR、JWT 与 AI 越权扫描。
• JWT 工具：解码、编码、签名校验与弱密钥测试，集成请求和响应编辑器。
• 日常操作：右键送测、范围过滤、鉴权字段处理、CSV / HTML 导出及中英文切换。

快速开始

需要支持 Montoya API 的 Burp Suite 和 Java 17+。

1. 从 Releases 下载与 Burp Java 环境匹配的 JAR，在 Extensions → Installed → Add 中以 Java 类型加载。
2. 在 Configuration 中设置测试域名与捕获范围，并启用插件。
3. 在 Auth Headers 中填写未授权测试要移除的认证头，如 Cookie、Authorization；在 User 中添加其他测试身份。
4. 通过 Proxy / Repeater 捕获请求，或右键选择 发送到 AuthKit，查看各身份的 Rank 与响应差异。

AI 为可选功能，在 Configuration → AI Analysis 中配置模型服务即可使用。详细操作与常见问题见使用指南。

结果判读

优先检查未登录或其他用户身份下的高 Rank 结果，再通过 Response Diff 确认是否返回了无权访问的数据或执行了受限操作。评分是风险提示，漏洞结论需结合业务权限人工确认。

工具获取

点击关注下方名片进入公众号

回复关键字【261015】获取下载链接

往期精彩

往期推荐

AI 赋能的漏洞播报系统，7\*24 小时监控全网漏洞播报，间隔10分钟自动抓取

Nacos 综合漏洞利用工具（重构版）

psnb-obs — 破甲作战系统：LLM 安全评测与红队工具链

AI 驱动的自动化代码审计与漏洞挖掘平台，支持多 Agent 协作扫描、数据流分析、漏洞管理和可视化审计

一键获取目标网站的源代码信息、网络数据包（HAR）、页面快照与媒体资源，方便进行逆向、二次开发与安全分析