此版本可以手动测试隐藏的HTTP/2攻击表面，并为Burp Intruder和bepaly下载 。

手动测试隐藏的HTTP/2攻击表面

现在，即使服务器未通过ALPN明确广告HTTP/2支持，您也可以从BURP中继器发送HTTP/2请求。这使您可以手动探索其他“隐藏” HTTP/2攻击表面。

要启用此行为，首先选择允许HTTP/2 ALPN替代来自中继器菜单，然后将协议从检查器面板切换为HTTP/2。

Burp入侵者的改进

我们已经对Burp入侵者进行了以下改进：

  • 在配置有效载荷列表以在攻击过程中发送时，您现在可以单击重复说明按钮以删除任何重复条目。这有助于提高攻击的效率，因为在组合多个单词列表时，您可以避免发送多余的重复请求。
  • 使用时GREP-匹配或者GREP-有效载荷选项，结果表现在包含一个列，显示响应中发现的匹配数，而不仅仅是复选框。
  • 在资源池配置中，现在有一个选项可以将请求之间的延迟设置为增量值。这使您能够研究目标应用程序的行为如何随着请求的分布而变化。您可以使用它来确定例如在请求之间保持会话的时间。
  • 现在，您可以选择多个行，并在Intuder配置设置中的某些表上执行批量操作。

改进的扫描检查服务器端模板注入

我们已经在服务器端模板注入（SSTI）扫描检查中添加了有效载荷，以检测以下基于Java的模板引擎中的漏洞：

  • spel
  • JSF
  • freemarker
  • 胸腺
  • 速度
  • JSTL

我们还使用BURP合作者集成了其他带外检测方法。

审核异步流量在Burp扫描仪中

现在将发送审核的API调用与页面上元素相互作用的触发的API调用。

我们还改善了爬网手在页面上与表格相互作用的方式，以更好地支持现代的单页应用程序。

改进了Burp扫描仪中XML和JSON插入点的处理

我们进行了以下更改，以改善扫描过程中XML和JSON插入点的处理：

  • 现在，注入无引用的JSON上下文中的有效载荷可以自动用引号包装，以确保BURP扫描仪始终生成有效的JSON文档。
  • 标准XML属性中的插入点，例如XML：Lang和XMLNS：*默认情况下现在被忽略。如果愿意，可以在扫描配置中覆盖此设置审核选项>忽略插入点。
  • 当将有效载荷附加到XML CDATA部分中的插入点上时，BURP扫描仪现在删除CDATA块并正确地将有效载荷编码。

记录的登录改进

BURP扫描仪现在可以在记录的登录序列中处理iFrame，多选，滚动元素和SVG元素。我们还提高了可靠性记录的登录通过更改我们在页面上的元素找到并与元素交互的方式。有关更多详细信息，请参阅我们的有关身份验证扫描改进的博客文章。

其他改进

  • 在记录器选项卡，我们为上下文菜单添加了一个选项，以将日志作为CSV文件导出。
  • 在仪表板选项卡，您现在可以重命名任务，以帮助您更轻松地识别它们。现在，您也可以通过其名称或其他详细信息搜索任务。
  • 现在，您可以针对启动BURP时是否恢复或暂停任务设置默认偏好。要更改默认设置，请转到用户选项> MISC>任务。

Bug修复

该版本还提供了许多错误修复，最著名的是在突出显示或在Burp Repeater中选择文本时的错误。