Burp Suite to nieodłączny element pracy pentestera. Oprócz wbudowanych modułów, takich jak Repeater, Intruder czy Scanner, ogromnym wsparciem są dodatki z Burp App Store. Jednym z najciekawszych i najczęściej wykorzystywanych jest Hackvertor – narzędzie do kodowania, dekodowania i automatyzacji pracy z payloadami.

W tym wpisie pokażę, dlaczego Hackvertor jest tak przydatny i jak można go wykorzystać w codziennych testach bezpieczeństwa.

Instalacja Hackvertora

Dodatek można zainstalować bezpośrednio z Burp App Store – działa zarówno w wersji Pro, jak i Community (choć w tej drugiej z ograniczeniami, np. w Intruderze czy bez dostępu do skanera).

Możliwa jest także instalacja manualna – wystarczy pobrać plik BAPP z repozytorium GitHub i zaimportować go w Burp Suite.

Dzięki temu mamy dostęp do najnowszych aktualizacji i nowych funkcjonalności.

Ponad 150 metod kodowania

Hackvertor obsługuje setki transformacji – od prostego Base64, przez haszowanie (MD5, SHA), kompresję, szyfrowanie, aż po bypass’y dla XSS czy generowanie losowych danych.

Działa w pełnej integracji z Repeaterem, Intruderem i Scannerem, co pozwala automatycznie kodować lub dekodować payloady w trakcie testów.

Przykład:
Chcemy zakodować nagłówek User-Agent w Base64 – wystarczy zaznaczyć fragment requesta, wybrać tag Hackvertora (@base64) i wysłać zapytanie. W logach Burpa zobaczymy, że faktycznie została użyta zakodowana wartość.

Repeater:

Intruder:

Wsparcie przy atakach na uwierzytelnianie Basic

Częstym przypadkiem w testach jest brute-force na Basic Authentication.
Standardowo login i hasło są łączone (login:hasło) i kodowane w Base64. Problem w Intruderze polega na tym, że login i hasło są kodowane osobno. Hackvertor rozwiązuje ten problem, bo pozwala zakodować w locie całą wartość login:hasło – niezależnie od tego, ile kombinacji payloadów testujemy.

przykład z użyciem tagu Hackvertor w Repater lub Intruder:

To ogromna oszczędność czasu i precyzyjne odwzorowanie realnych prób ataku.

Praca z XML i Base64

Coraz częściej aplikacje przesyłają pliki XML zakodowane w Base64.
Podczas testów XXE (XML External Entity) czy wstrzykiwania payloadów wystarczy użyć Hackvertora, aby całość żądania była wysyłana poprawnie zakodowana. Dzięki temu testy są realistyczne i działają zgodnie z oczekiwaniami backendu.

Zmienne i automatyzacja

Hackvertor pozwala na definiowanie zmiennych lokalnych i globalnych (set / get), które można wykorzystywać w wielu requestach. Dzięki temu np. wygenerowane hashe, tokeny czy dane testowe mogą być ponownie używane w różnych modułach Burpa bez konieczności kopiowania i wklejania.

Przykład z użyciem tagów szyfrowania:

Dodatkowo dostępna jest funkcja fake data – generowanie losowych numerów telefonów, adresów, loginów czy e-maili. Idealne, gdy aplikacja nie akceptuje powtarzających się wartości.

Rozszerzone funkcje – JWT, auto decode i skrypty

JWT – Hackvertor potrafi generować i analizować tokeny JWT, w tym dekodować i modyfikować ich zawartość.

Auto decode – narzędzie potrafi automatycznie rozpoznać i zdekodować podejrzane ciągi znaków, co sprawdza się np. w CTF-ach czy przy analizie nieznanych formatów.

Skrypty – możemy pisać proste one-linery w Pythonie czy innych językach, które wykonują się bezpośrednio w Burpie (przy włączonej opcji Allow Code Execution).

Podsumowanie

Hackvertor to nie tylko “lepszy decoder” – to kombajn do automatyzacji i manipulacji payloadami.
Największe zalety to:

• Integracja z Intruderem, Repeaterem i Scannerem.
• Obsługa setek metod kodowania i szyfrowania.
• Możliwość pracy z Base64 w realnych scenariuszach (Basic Auth, XML, JWT).
• Generowanie zmiennych i fake data, co przyspiesza testy.
• Elastyczność – od prostych transformacji po własne skrypty.

Warto poświęcić chwilę na naukę tego dodatku – w codziennych testach potrafi zaoszczędzić mnóstwo czasu i znacznie zwiększyć skuteczność.