工具推荐｜API 剑，全自动深度挖掘网站隐藏 API 接口

原创

维度攻防
维度攻防

维度攻防

2026年7月20日 10:25
安徽

在小说阅读器读本章

去阅读

做渗透测试最耗时间的环节，莫过于手动翻 JS 扒接口、梳理路径参数。今天分享一款 Burp 插件 ——API 剑，全自动递归提取全站 API，彻底解放双手。

一、核心能力

1. 流量全捕获

监听 Burp 代理流量，自动从 HTML、JS 响应中提取所有链接、接口路径。
2. 递归深度爬取 + 防环路

清洗链接后主动发包探测 API/JS，多层递归提取，自带防死循环机制，无需担心重复请求。
3. 接口溯源直达

所有 API 标注来源 JS 文件，一键查看参数，Ctrl+R 快速转发至 Repeater 测试。
4. 自动同步 Sitemap

发现的接口自动存入 Burp Target 站点地图，方便后续批量分析漏洞。

二、极简使用步骤

1. 安装插件至 Burp 2024 及以上版本；
2. Scope 面板填入目标域名 / IP 划定扫描范围；
3. 浏览器挂 Burp 代理，正常浏览目标站点；
4. 插件自动采集接口，在面板查看结果。

项目地址：https://github.com/Sugobet/API\_Sword