Burp Suite 33 * * (26 + 7 Фаза 3 MCP AI , @burp-suite-arsenal агент « » Burp

• docs/demo-phase3.md — 32/33 ligence PASS ZCode IDE

burpsuite MCP 27

burp-mcp-all.jar(PortSwigger ) Burp (Proxy/Repeater/Intruder/Scanner/Collaborator),** BApp 国 三 ** Montoya API

) 33 ) 中) (26 ) + 7 Фаза 3 ))

---

| Shiro | shiro_detect / shiro_exploit | BurpShiroPassiveScan + полезная нагрузка цепи гаджетов | | Fastjson | fastjson_detect | Негативный FastjsonScan + | | WAF | waf_bypass | 7 )()/Unicode/)/chunked )) | smuggler_detect | CL.TE / TE.CL полезная нагрузка | | JWT | jwt_decode / jwt_forge / jwt_bruteforce | JWT + alg: noone + | | ** ** | hae_get_highlights / domain_hunter_get_results / xkeys_get_findings | [[HaE] domain hunter / Xkeys | active_scan_start / active_scan_get_status / get_scan_issues_enhanced / get_scan_queue | {\displaystyle } + {\displaystyle }

Burp MCP Bridge

把 Burp Suite 的 33 个能力（26 核心 + 7 Phase 3 高级工具）通过 MCP 协议桥接到 AI 客户端，让 @burp-suite-arsenal 等 agent 真正"看到" Burp 的全部武器。

完整端到端实测见 docs/demo-phase3.md — 32/33 工具真实调用 PASS。ZCode 是命令行 IDE 无法直接截图，文档含 Mermaid 架构图 + 真实 JSON 输出。

✨ 核心特性

🔌 桥接官方 burpsuite MCP 27 工具的空白

官方 burp-mcp-all.jar（PortSwigger 官方）只能暴露 Burp 核心（Proxy/Repeater/Intruder/Scanner/Collaborator），不暴露 BApp 商店的第三方插件。本项目通过 Montoya API 主动读取插件的标注/日志/发现，弥补这个空白。

🎯 33 个差异化工具（26 核心 + 7 Phase 3 高级）

📦 安装

前置条件

• Burp Suite Pro 2026.6+（Montoya API）
• JDK 21（编译用）+ Python 3.10+（运行时）
• ZCode IDE

步骤 1：加载到 Burp Suite

1. 下载 burp-mcp-bridge-1.0.0.jar（从 Releases 页面）
2. Burp Suite → Extender → Extensions → Add → Type: Java
3. 选择 jar → Next
4. Output 标签应看到 “Registered 25 tools” + “MCP SSE 服务已启动，端口 9877”

步骤 2：注册到 ZCode

编辑 ~/.zcode/cli/config.json 的 mcp.servers，添加：

"mcpBridge": {
  "enabled": true,
  "type": "stdio",
  "command": "C:\\Users\\AppData\\Local\\Programs\\Python\\Python312\\python.exe",
  "args": ["D:\\claude code\\burp-mcp-bridge\\scripts\\mcp-bridge-stdio.py"]
}

Python 路径按本机实际调整；脚本会监听 stdin 的 JSON-RPC，转发到 Burp 端口 9877。

步骤 3：重启 ZCode

完全关闭后重开，@burp-suite-arsenal 即可调用 33 个 mcp__mcpBridge__* 工具（26 基础 + 7 Phase 3 高级）。

Phase 3 工具外部依赖（可选）

Phase 3 的 4 个工具需要外部二进制。这些依赖是可选的 —— 如果没装，对应工具返回明确错误信息，其他 26 个基础工具仍正常工作。