差点被当成 APT 黑客：一个 Burp 插件的连环翻车案

原创

升斗安全XiuXiu
升斗安全XiuXiu

升斗安全

2026年10月19日 13:07
广东

去阅读

【文章说明】

• 目的：本文内容仅为网络安全技术研究与教育目的而创作。
• 红线：严禁将本文知识用于任何未授权的非法活动。使用者必须遵守《网络安全法》等相关法律。
• 责任：任何对本文技术的滥用所引发的后果自负，与本公众号及作者无关。
• 免责：内容仅供参考，作者不对其准确性、完整性作任何担保。

阅读即代表您同意以上条款。

【内容描述】 一个本意是帮白帽更高效地挖漏洞的 Burp 插件，却阴差阳错地把PortSwigger的服务器，写成了\"同时对全网成千上万个站点发起攻击\"的罪魁祸首。本文复盘这场差点让PortSwigger背上\"黑客狂潮\"罪名的翻车事故——它源于一个自认为聪明的探测技巧，以及PortSwigger对副作用的致命低估。看完你会明白：在网络安全这行，\"无意之失\"有时候比\"蓄意攻击\"更难向人解释。

你有没有过那种时刻：明明是想做好事，结果一抬头，发现自己站到了聚光灯正中央，而台下看你的眼神，活像在看一张通缉令？

PortSwigger有过。而且那一刻，PortSwigger头顶的\"罪名\"听起来相当骇人——

您的服务器正在对全网发起大规模密码爆破。

发来这封邮件的，是 X厂商的滥用举报团队。

一、很多网站，太\"信任\"陌生人了

先交代下背景。不少网站有个老毛病：它们太相信用户写在 HTTP 请求头里的那串 IP 地址。

常见的几个头，你肯定眼熟：

• X-Forwarded-For
• X-Real-IP
• True-Client-IP

在不少 Web 应用、WAF、风控系统眼里，这些头里填的 IP，就等于\"访问者的真实 IP\"。可问题是，这玩意儿是客户端自己带过来的，想写啥写啥，跟填快递寄件人名字一样随意。

这种信任，在圈内叫IP 欺骗（IP Spoofing）漏洞——攻击者随便伪造一个 IP，就能绕过基于 IP 的封禁、限流、黑白名单。

但一直有个尴尬：这漏洞\"藏得深\"。你怎么知道一个网站到底信不信这些头？靠猜？靠手动一个个试？太慢，也不可靠。

二、灵光一现：别伪造 IP，伪造域名

我在一个研究项目里，琢磨出一个取巧的探测思路。

与其伪造一个 IP 地址，不如伪造一个域名。

具体玩法：我在请求头里填上我自己掌控的一个域名，比如 xxxx.burpcollaborator.net。如果目标服务器真把这个头当回事、并且\"认真\"地把它当成访问者 IP 去用（比如去做反向解析、打日志、或者触发某些回调逻辑），那它就会主动发起一次 DNS 查询，把这个域名解析成 IP。

而我这边，只要在 DNS 服务器上\"埋个雷\"——记下有没有人查过这个域名——就能反推出：目标到底有没有上钩。

只要 DNS 日志里冒出那条查询记录，Bingo，漏洞实锤。

巧的是，Burp Suite 本身就带了一个叫Burp Collaborator的外带（out-of-band）服务器，专门干接收 DNS / HTTP 回调这种活儿。另外也有个开源插件，叫Collaborator Everywhere，扔到了 BApp Store。

这插件干的事特别省心：它会自动往你发出的每一个请求里，塞进上面那几个 IP 头，值统一指向一个 Collaborator 子域名。

比如你本来只是想访问 http://example.com/，插件会悄悄把它改成这样：

GET / HTTP/1.1    Host: example.com X-Forwarded-For: uniq-id.burpcollaborator.netTrue-Client-IP: uniq-id.burpcollaborator.netX-Real-IP: uniq-id.burpcollaborator.net

你该干嘛干嘛，插件在后台默默收集\"谁解析了我的域名\"，帮你把那些存在 IP 欺骗漏洞的站点一个个揪出来。

（停一下，看到这你大概已经猜到了——我翻车了。）

三、那封来自 X厂商 的\"通缉令\"

使用插件没多久，文章开头那封滥用报告邮件就到了。邮件里白纸黑字地说，burpcollaborator.net 正在\"通过暴力破解密码\"攻击别人的网站。

我当时第一反应：胡扯。Burp Collaborator 是个纯被动的服务器，它这辈子都不会主动连别人的机器，怎么可能去爆破密码？

但冷静下来一想，这事儿居然完全说得通。

四、真相：我的服务器，成了\"背锅侠\"

链条是这样的：

有位白帽（很可能就是某位赏金猎人兄弟），在用 Burp Suite 对某个网站做完全合法的密码爆破测试——这本身没问题，人家拿的是授权。

麻烦出在，这位兄弟同时也装了 Collaborator Everywhere。于是他射出去的每一发爆破请求里，都带着 X-Forwarded-For: <某个id>.burpcollaborator.net。

而那个被测试的网站，恰好存在 IP 欺骗漏洞——它把请求头里的域名，当成了\"攻击者的真实 IP\"。

于是，当网站把这次\"攻击\"记进日志、或者触发了某种反制 / 举报机制时，它顺手解析了这个域名，得到了一个 IP：52.16.21.24——那是（PortSwigger）的服务器。

白帽本人可能拿了授权，但 52.16.21.24 这个 IP 显然没有任何授权。于是，一封滥用报告就顺理成章地飞到了 X厂商 手里：\"你们这台服务器在打我！\"

五、冰山一角：Collaborator \"同时\"打了全网

而这，只是冰山一角。

Collaborator Everywhere 一上线，全世界的赏金猎人都在用。只要有人拿它去测一个存在 IP 欺骗漏洞的站点，那个站点就会把\"攻击\"算在PortSwigger服务器头上。

换句话说：这一个插件，瞬间让PortSwigger的域名，背上了\"同时攻击成千上万个网站\"的罪名。

更魔幻的还在后头。

有些中招的网站，是部署在私有内网里的。对它们来说，从我这个\"外部 IP\"发起的攻击，看起来就像是：有人已经打穿了边界，正在内部网络上横向移动（lateral movement）。

光是想想那个画面就后背发凉——在旁人眼里，我这不成了\"已经入侵了人家内网、正在搞高级持续性威胁（APT）\"的头号嫌疑人了吗？

六、亡羊补牢：让子弹打回它自己

发现苗头不对，我立刻动手补救。修复思路其实挺巧妙：

PortSwigger让 Collaborator Everywhere 改用一个特殊的关键字子域名——spoofed..burpcollaborator.net。这个域名，PortSwigger让它永远解析到127.0.0.1（也就是本机回环地址 localhost）。

这样一来有俩好处：

1. 就算有漏洞的网站把\"攻击\"归因到这个域名，它解析到的也是 127.0.0.1——也就是它自己的机器。滥用报告只会打到它自己脸上，再也伤不到我，也不会误伤任何无辜旁观者。
2. 同时，这个 spoofed. 前缀也成了一个醒目的视觉信号：看到它，你就知道\"这个值不可信，是伪造的\"。

至于那个\"捅了娄子\"的旧版本插件，PortSwigger直接把它从 BApp Store 里撤回注销了。所以如果你也是 Collaborator Everywhere 的用户，记得重启一下 Burp，去 BApp 商店装回修复后的版本。

七、一个事后才觉得\"理所当然\"的教训

现在回头看，这个设计缺陷简直是教科书级的\"事后诸葛亮\"——那么明显，我当时怎么就没想到？

但它确实是给我的一记个人教训：

当研究顺风顺水、思路被验证有效的时候，人很容易让兴奋盖过警惕，忽略了那些藏在角落里的副作用。

一个本意是帮大家更高效地挖漏洞的工具，可能因为一个没料到的连锁反应，变成把自己架在火上烤的\"证物\"。安全研究如此，写工具、做产品、乃至日常搞渗透，大概都是同一个道理。

📌如果这篇\"翻车实录\"让你会心一笑（或后背一凉），不妨顺手：

👍点个赞—— 让更多同行看到，别重蹈我的覆辙

⭐关注我—— 持续分享一线渗透实战、漏洞研究与工具复盘

🔁转发给身边的白帽朋友—— 说不定他正打算踩同一个坑

💬留言 / 推荐—— 你有没有过类似\"好心办坏事\"的翻车经历？评论区聊聊，我扶你起来

网络安全这条路上，谁还没翻过几次车呢？重要的是，翻完能爬起来，还顺手把坑给填了。咱们下篇见。🛡️