Burp Suite Professional을 위한 가장 강력한 MCP 서버, BurpMCP-Ultra

Burp Suite Professional을 위한 가장 강력한 MCP 서버입니다.

JAR 파일을 Burp에 하나만 드롭하고 Claude Code(또는 모든 MCP 클라이언트)를 연결하여 AI 에이전트를 통해 Burp Suite의 모든 부분을 프로그래밍 방식으로 구동할 수 있습니다.

150개의 도구 • 8가지 리소스 • 17가지 이벤트 유형 • 실시간 대시보드 • 강화된 로컬호스트 보안

빠른 시작 • 도구 • 기능 • 보안 • 대시보드 • 설정 가이드 • 문의하기

BurpMCP-Ultra는 임베디드 MCP (Model Context Protocol) 서버를 갖춘 네이티브 Kotlin Burp Suite 확장 프로그램입니다. 이는 Burp의 Montoya API를 토큰으로 보호되는 로컬 SSE 전송을 통해 150개의 구조화된 도구로 노출하여, AI 에이전트가 자연어만으로 프록시 히스토리 분석, 활성 스캔(active scans), 퍼징(fuzzing), 레이스 컨디션(race conditions), OOB 테스트, 사용자 지정 스캔 검사 및 유도적 익스플로잇을 수행할 수 있게 합니다.

경쟁사 수치는 각 프로젝트의 공개 도구 목록을 기반으로 한 참고치입니다.

git clone https://github.com/Cy-S3c/BurpMCP-Ultra.git
cd BurpMCP-Ultra
./gradlew shadowJar

출력: build/libs/burpmcp-ultra-2.3.1.jar

(~13 MB). JDK 17–21이 설치되어 있어야 합니다 — 소스에서 빌드하는 방법 참조. 사전 구축된 JAR 파일은 Releases 페이지에 있습니다.

• Burp Suite Pro →
  Extensions→Add - JAR 파일을 선택합니다.
• BurpMCP-Ultra 탭이 녹색 "Running" 상태와 연결 토큰과 함께 나타납니다.

{
"mcpServers": {
"burp": {
...

~/.claude.json에 추가하거나, 프로젝트의 .mcp.json에 추가합니다.

⚠️ 토큰이 필요하며, 엔드포인트는 루트 경로여야 합니다. /sse가 아닌 /에서 토큰을 복사하세요.

BurpMCP-Ultra 패널의 Server 탭입니다. 이것 없이는 서버가 401 오류를 반환하고, Claude Code와 같은 클라이언트는 OAuth discovery로 폴백(fall back)하여 SDK auth failed: HTTP 404: Invalid OAuth error response 오류로 실패합니다.

💡

MCP 클라이언트에서 헤더(headers) 설정이 불가능한가요? 토큰-인-패스 URL을 사용하세요 — headers 블록이 필요 없습니다 (GitHub 이슈 #11). Server 탭의 "Copy No-Headers Config"를 사용하여 복사할 수 있습니다:
{ "mcpServers": { "burp": { "type": "sse", "url": "http://127.0.0.1:9876/PASTE_TOKEN_FROM_SERVER_TAB/" } } }

뒤따르는 슬래시(/)를 유지하세요 — 이것이 토큰을 SSE 백채널(back-channel)로 전달하게 하는 요소입니다. ?token=… 쿼리는 MCP에 작동하지 않습니다: SDK는 POST 엔드포인트를 상대 참조(?sessionId=…)로 광고하는데, 이는 RFC 3986 §5.3에 따라 쿼리를 경로로 대체(replace)하므로 (따라서 토큰이 사라지고 모든 메시지가 401 오류가 되지만) 경로는 유지됩니다. 토큰이 URL의 일부가 되는 점에 유의하여, 클라이언트가 지원하는 경우 헤더 형태를 선호하세요.

실시간 웹 대시보드는 **http://127.0.0.1:9878**로 브라우징하십시오.

37개 카테고리에 걸친 150개의 MCP 도구가 있습니다. 이름은 안정적이며, 권위 있는 개수는 Server 탭에 표시되는 server.tools.size입니다.

실시간 요청을 발행하는 공격 도구는
scope-gated(Security)를 참조하세요.

이벤트 시스템(Event system)
persistence_store / persistence_get / persistence_delete / persistence_list | 프로젝트 데이터 저장소
preference_store / preference_get | 전역 환경 설정(Global preferences)
decoder_send / comparer_send | 디코더/컴페어러로 전송
organizer_send / organizer_get_items | 오거나이저 관리
log_message / log_event | Burp 로깅
ai_status / ai_prompt | Burp AI 통합 (Burp 2025 이상)
bambda_import | Bambda 스크립트 가져오기(Import)
project_info / extension_info | 프로젝트 및 확장 프로그램 메타데이터

도구 호출 없이 에이전트가 읽을 수 있는 읽기 전용 MCP 리소스:
burp://proxy/history

· burp://proxy/websocket/history

· burp://scanner/issues

· burp://sitemap

· burp://scope

· burp://config/project

· burp://config/user

· burp://organizer/items

injection_probe(
request:

, 그런 다음 결정론적 오라클을 사용하여 취약점을 **확인**합니다 — SQL 오류 지문, 시간 지연 분석, 템플릿 수학 평가(`1337*1337 → 1787569`) 및 파일 내용 마커를 사용하며, 트리거 페이로드를 통해 확인된 결과만 반환합니다. 블라인드/OOB 클래스의 경우, `collaborator_*`와 `http_fuzz`를 쌍으로 사용합니다.

jwt_attack(token: