文章总结： 该文档详细介绍了如何整合OpenClaw、MCPorter与BurpSuiteAIAgent实现自动化渗透测试。通过配置MCP服务连接QQ机器人，利用BurpSuite抓取流量后，AI可自动进行弱口令爆破、文件上传等漏洞检测，最终获取系统权限。文档强调该方案为半自动化流程，需先通过代理捕获流量，并建议结合浏览器MCP工具实现全自动化测试，为安全从业者提供提升漏洞检出率的实用方案。 综合评分： 80 文章分类： 渗透测试,WEB安全,安全工具,红队,安全运营
Ai+burpsuite插件实现自动化漏洞挖掘图文
原创
三呼呼 三呼呼
古月安全
2026年5月9日 09:33 四川
在小说阅读器读本章
去阅读
使用小龙虾kali+openclaw+qq机器人实现自动化安装图文教程 从这里开始。当然可以换成其他工具
比如直接使用opencode(https://opencode.ai/)。
添加 MCP 工具
默认情况下OpenClaw 本身不支持直接调用 MCP 协议，但可以通过官方推荐的MCPorter工具作为中间层来接入外部 MCP 服务
安装 MCPorter
打开终端，使用后面的命令进行安装：npm i -g mcporter，如果提示命令未找到，需要检查 Node.js 环境变量或重新安装node.js。
配置 MCPorter
安装完成之后，就需要配置mcp服务了。
mcporter config add <service-name> --url <mcp-service-url>
将
bp-mcp服务下载地址：
https://github.com/six2dez/burp-ai-agent/releases/tag/v0.6.0
burpsuit AI Agent接入
接下来可以在openclaw.json中加入mcp服务，当然也可以让Agent帮我们完成，比如通过聊天：
完成添加，在openclaw.json中查看：
这样就完成了一个burpsuit的mcp工具，该工具可以自动进行漏洞挖掘，具体可参考上面github。
现在来启动这个burpsuit的AI插件。首先是下载：https://github.com/six2dez/burp-ai-agent/releases/tag/v0.6.0
然后在burpsuit的extensions中添加：选中下载的jar文件即可–前置条件java version 21+
启动之后是这样的：
但是有很多模块是未开启状态，可根据自己得需求开启，但是有一定得风险，一定要确保操作可控
表示成功启动了mcp服务。现在尝试让小龙虾通过mcp服务，调用burpsuit进行自动化的渗透测试。现在聊天框中看下连接成功没：直接问是否可以连接burpsuit的mcp服务
bp自动化
得到结果，现在我们通过qq机器人的方式来进行调用。现在启用一个测试网站，然后代理设置好，并且访问下，让burpsuit抓取到这个站点的流量。
然后发起测试流程
等几分钟之后结果：
发现弱口令进一步测试
因为不是所有的的测试步骤都会返回，我们看看返回的一些关键内容：
写入成功，然后几分钟之后测试结束得到如下结果：
然后我们通过它给的shell路径看看：成功执行。
到这里就基本上结束了小龙虾加burpsuit ai agent的组合使用。现在就可以通过qq机器人发送url地址，然后等着结果了。
当然你可以把他做成一个skills，比如这样，直接在聊天窗口中说就行，将这个mcp 做成一个skills，小龙虾就会帮你完成：
但是这个MCP工具并不是全自动化的，它是个半自动化的，它需要根据你的burpsuit中已经存在的http请求来进行测试。也就是我们要先通过代理在抓包到需要测试的URL的流量，才能让它帮我们进行分析。如下图：
如果需要全自动，还需要接入浏览器的MCP，让AI控制浏览器，自动访问，点击，burpsuit抓包，然后burpsuit的ai agent才能进行漏洞测试。比如这样：
就可以自动化得到一个skills
现在再来试试这个skills得效果。
启动测试
得到第一阶段结论：
肯定不够得继续：
最终拿下系统权限。
当然这些其实都可以写在skiils得.md文件中，比如当发现弱口令自动登入，进行下一步测试，就可以不用持续对话。
总结
AI能力逐渐增加，对于我们安全从业者来说，学会如何利用AI提升效率以及漏洞得检出率才是下一步得关键。如何整合各种现有工具，让他们拥抱AI，解放双手，比如上面得例子，基本不用任何代码，纯靠提示词就能完成各种配置，并能自动化得完成渗透测试任务。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：古月安全 三呼呼 三呼呼《Ai+burpsuite插件实现自动化漏洞挖掘图文》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论