尧图网络 高端网站定制 · 原创设计
免费咨询热线
400-888-6620
免费获取方案
如何用Gradle构建并部署Freddy扩展:从源码到Burp插件jar的完整快速开始
如何用Gradle构建并部署Freddy扩展从源码到Burp插件jar的完整快速开始【免费下载链接】freddyAutomatically identify deserialisation issues in Java and .NET applications by using active and passive scans项目地址: https://gitcode.com/gh_mirrors/fre/freddyFreddyDeserialization Bug Finder是 NCC Group 出品的 Burp Suite 扩展能自动识别 Java 与 .NET 应用中的反序列化漏洞支持主动扫描和被动扫描。本文带你用Gradle完成从克隆源码、编译打包到生成Burp 插件 jar并部署的完整流程新手也能快速上手。一、环境准备安装 JDK 11 与 Gradle在开始构建前请先确认本机环境JDK 11build.gradle 中声明了sourceCompatibility 1.11即项目按 Java 11 编译请确保java -version输出为 11 或更高版本GradleFreddy 使用 Gradle 构建系统安装后可通过gradle --version验证能访问 Maven Central 仓库构建时会自动拉取依赖如 Burp Extender API、JUnit 等。 提示如果 JDK 版本不匹配编译时会直接报错这是新手最常踩的坑。二、克隆 Freddy 源码并认识目录结构在项目根目录执行以下命令克隆代码git clone https://gitcode.com/gh_mirrors/fre/freddy克隆完成后几个关键文件值得先了解文件作用settings.gradle声明根项目名为freddybuild.gradle核心构建脚本依赖、Java 版本、jar 打包规则src/burp/BurpExtender.java插件入口对接 Burp 扩展 APIsrc/nb/freddy/modules/java/Java 平台反序列化检测模块XStream、SnakeYAML、Kryo 等 21 个src/nb/freddy/modules/dotnet/.NET 平台检测模块Json.Net、XmlSerializer 等 12 个BappManifest.bmfBApp 应用清单声明插件入口与构建命令注意Freddy 的目录结构与 Gradle 标准布局略有不同源码放在src、测试放在test这一点已在build.gradle中通过sourceSets显式配置。三、执行 gradle jar 一键构建插件一切就绪后进入项目根目录执行构建命令这也是 BApp 清单中声明的官方 BuildCommandgradle jar这条命令会自动完成三件事从 Maven Central 下载依赖包括net.portswigger.burp.extender:burp-extender-api:1.7.22、minlog日志库以及测试用的 JUnit 4 和 PowerMock运行单元测试验证代码正确性全部通过后才会继续打包打出胖 jarbuild.gradle中的jar任务会把编译类路径上的所有依赖类合并进同一个 jar生成开箱即用的自包含插件包。构建成功后产物位于build/libs/freddy-2.2.5.jar版本号2.2.5和发布组trust.nccgroup均在build.gradle中定义文件名由项目名-版本号.jar规则自动生成。四、部署 jar 到 Burp Suite三步加载插件⚠️ Freddy 需要Burp Suite Pro 或 Enterprise版本才能运行清单中ProOnly: True。打开 Burp Pro进入Extender扩展页签点击Add选择刚才构建出的build/libs/freddy-2.2.5.jar点击Load加载成功后扩展列表会出现Freddy, Deserialization Bug Finder日志区显示扩展启动信息即代表部署成功。BappManifest.bmf中声明的EntryPoint: build/libs/freddy-2.2.5.jar与上面的产物路径完全对应说明构建与部署环节已正确衔接。五、部署后快速上手被动 主动双扫描插件加载后Freddy 会提供两类能力帮你定位反序列化风险被动扫描监控 HTTP 流量中的类型指定符与异常特征。例如 FastJson 会在 JSON 中通过$type字段指定对象类型Freddy 能据此识别目标使用的序列化库主动扫描采用异常型触发特征报错、时间型利用ping造成响应延迟、Collaborator 型外域回连确认标记为RCE (Collaborator)三种探测手段尽可能把检测升级为漏洞确认。支持的目标覆盖面很广Java 侧含 XStream、SnakeYAML、Hessian、Kryo、BlazeDS/Red5 AMF 等 21 项.NET 侧含 BinaryFormatter、DataContractSerializer、Json.Net 等 12 项多个模块已具备 RCE 利用能力。六、常见问题与排查清单构建报无效的目标发行版 11→ 当前 JDK 低于 11切换 JDK 后重新执行gradle jar找不到 build/libs 目录→ 尚未成功执行构建先确认gradle jar是否无报错退出Burp 中加载 jar 无反应→ 确认使用的是 Burp Pro/Enterprise社区版不支持加载该插件想单独跑测试→ 可执行gradle test便于在改代码后快速验证。七、总结回顾整个流程克隆源码 → 配置 JDK 11 环境 → 执行gradle jar→ 在 Burp Pro 中加载freddy-2.2.5.jar四步即可完成 Freddy 反序列化检测插件的本地构建与部署。之后你只需在 Burp 中正常发起扫描就能自动发现目标应用中的 Java / .NET 反序列化风险点。【免费下载链接】freddyAutomatically identify deserialisation issues in Java and .NET applications by using active and passive scans项目地址: https://gitcode.com/gh_mirrors/fre/freddy创作声明:本文部分内容由AI辅助生成(AIGC),仅供参考
RELATED

相关推荐

NXP汽车MCU长期供货承诺,S32K系列开发实战与调试指南

NXP汽车MCU长期供货承诺,S32K系列开发实战与调试指南

做嵌入式这些年,我手机上存得最多的不是代码片段,而是芯片的“寿命终止通知”。尤其是汽车电子,一颗MCU从选型到量产往往要经历两三年,车卖出去后还要追溯十五年的售后供应,芯片供应商只要一封PCN,整个平台…

📅 2026/9/30 10:20:32
clawdbot 部署全指南:3 步在 5 类设备上跑起你的个人 AI 助手

clawdbot 部署全指南:3 步在 5 类设备上跑起你的个人 AI 助手

clawdbot 部署全指南:3 步在 5 类设备上跑起你的个人 AI 助手 【免费下载链接】openclaw Your own personal AI assistant. Any OS. Any Platform. The lobster way. 🦞 项目地址: https://gitcode.com/GitHub_Trending/cl/openclaw clawdbot 部…

📅 2026/10/31 9:04:36
合成电网场景生成:学习AC可运行联合分布的关键技术

合成电网场景生成:学习AC可运行联合分布的关键技术

做电力系统AI研究的同学,大概率都遇到过这样一个场景:你需要一批规模足够大、形态足够多样的电网场景来训练电压控制智能体,或者验证一个新调度策略。找真实数据拿不到,用 IEEE 标准算例又嫌太少、太老。于是你把目光投向“合成电…

📅 2026/11/8 21:08:42
MORE NEWS

更多资讯

📰

宜宾考电工证费用最新政策解读:证书过期了不知道怎么复审延期?良心建议在这里

宜宾考电工证费用最新政策解读:证书过期了不知道怎么复审延期?良心建议在这里 证书过期了不知道怎么复审延期?别急,我这有 良心建议…

📰

粤省事怎么添加电工证保姆级教程:电工证怎么考?找工作必备!

粤省事怎么添加电工证保姆级教程:电工证怎么考?找工作必备! 你是不是正愁找不到好工作,却因为没电工证被拒之门外?现在不少企业明确要求持证上岗,尤其是电工证,成了很多人的“敲门砖”。如果你也在找电工证的报考方式,那这篇【粤省事怎么添加电工证保…

📰

江苏安监网工程电工证怎么考?郑州报考避坑指南

江苏安监网工程电工证怎么考?郑州报考避坑指南 找工作卡在没有特种作业证?别再被培训机构忽悠了!特种作业证是进入工地、工厂等高危岗位的“通行证”,缺了它,连面试机会都没有。尤其是【江苏安监网工程电工证】,在电力施工、安装和维修岗位中几乎是“标…

📰

电工证复审页面报考条件与考试时间,真实经历告诉你别怕学历低

电工证复审页面报考条件与考试时间,真实经历告诉你别怕学历低 你是不是也担心自己学历不高,怕报不了电工证复审?我之前就是个电工,初中毕业,刚开始干这行的时候,也担心自己没文凭,连个考试资格都没有。但后来才知道,学历不是限制,关键是你怎么去准备…

📰

工地太忙根本没时间复习考试?低压电工证济宁哪里考考前押题帮你一把

工地太忙根本没时间复习考试?低压电工证济宁哪里考考前押题帮你一把 工地太忙根本没时间复习考试?你不是一个人在战斗。最近在济宁某工地干电工的李工就跟我吐槽,项目赶工期,每天早上6点到晚上10点,连轴转,根本没有时间准备低压电工证考试。结果一查…

📰

电工证审核在哪里审核 电子证书换证流程全攻略

电工证审核在哪里审核 电子证书换证流程全攻略 你是不是正为没电工证而发愁?找工作处处碰壁,特种作业证成了刚需,尤其是电工证,现在几乎所有工地、工厂、建筑单位都要求持证上岗, 电子证书…

TODAY

今日更新

THIS WEEK

本周精选

THIS MONTH

本月热门

读完文章,想聊聊您的网站?

告诉我们您的行业与需求,资深顾问一对一梳理方案与报价,全程免费。

📞 💬