# AuthKit — 首个多维度辅助检查鉴权安全的burpsuite插件
项目地址：https://github.com/youmulijiang/AuthKit
[](https://github.com/youmulijiang/AuthKit#authkit--%E9%A6%96%E4%B8%AA%E5%A4%9A%E7%BB%B4%E5%BA%A6%E8%BE%85%E5%8A%A9%E6%A3%80%E6%9F%A5%E9%89%B4%E6%9D%83%E5%AE%89%E5%85%A8%E7%9A%84burpsuite%E6%8F%92%E4%BB%B6)

## 核心功能

[](https://github.com/youmulijiang/AuthKit#%E6%A0%B8%E5%BF%83%E5%8A%9F%E8%83%BD)

*   **多身份对比**：以 `Original / Unauthorized / 多用户` 重放请求，支持认证头与参数替换。
*   **响应评分**：默认展示 `Rank`，归一化处理动态噪声，结合响应差异筛选可疑接口。
*   **AI 辅助分析**：按需读取数据包、对话分析与批准后发包验证，支持会话保存。
*   **专项扫描**：403 Bypass、IDOR、JWT 与 AI 越权扫描。
*   **JWT 工具**：解码、编码、签名校验与弱密钥测试，集成请求和响应编辑器。
*   **日常操作**：右键送测、范围过滤、鉴权字段处理、CSV / HTML 导出及中英文切换。

## 快速开始

[](https://github.com/youmulijiang/AuthKit#%E5%BF%AB%E9%80%9F%E5%BC%80%E5%A7%8B)

需要支持 Montoya API 的 Burp Suite 和 Java 17+。

1.  从 [Releases](https://github.com/youmulijiang/AuthKit/releases) 下载与 Burp Java 环境匹配的 JAR，在 `Extensions → Installed → Add` 中以 `Java` 类型加载。
2.  在 `Configuration` 中设置测试域名与捕获范围，并启用插件。
3.  在 `Auth Headers` 中填写未授权测试要移除的认证头，如 `Cookie`、`Authorization`；在 `User` 中添加其他测试身份。
4.  通过 `Proxy / Repeater` 捕获请求，或右键选择 `发送到 AuthKit`，查看各身份的 `Rank` 与响应差异。

AI 为可选功能，在 `Configuration → AI Analysis` 中配置模型服务即可使用。详细操作与常见问题见[使用指南](https://github.com/youmulijiang/AuthKit/blob/main/docs/user-guide.md)。

优先检查未登录或其他用户身份下的高 `Rank` 结果，再通过 `Response Diff` 确认是否返回了无权访问的数据或执行了受限操作。**评分是风险提示，漏洞结论需结合业务权限人工确认。**

![图片](/media/202610/37512c7e54924919a9526df08ece7bf55266.png)

![](/media/202610/36849917852d4a0cb477878a395a420c5145.png)

BP多维度鉴权安全插件