Hacking Web Services with Burp

介绍 JavaScript Web Service Proxy（JSWS）如何以 JavaScript 和 JSON 描述 WCF 服务的可用方法与参数，替代传统 WSDL 文件，并演示如何在 Burp 中定位和攻击这类服务端点。

发布 Burp 插件 BurpAMFDSer：借助 XStream 库将 Flash 与服务器间的 AMF 请求/响应与 XML 互转，便于在 Burp 中查看和篡改；新版本兼容 Burp 1.5.01 Extender API，并支持发送到 Intruder 与 Scanner。

发布 Burp 插件 BurpJDSer：利用 XStream 将 Java 序列化请求/响应与 XML 互转，无需额外依赖即可在 Burp 中查看和篡改 Java 富客户端流量，支持模糊测试定位服务端错误并绕过客户端控制。

梳理 REST 为何取代 SOAP 成为跨应用通信主流：REST 以资源为导向、基于 HTTP 与 JSON 的简洁风格，胜过 SOAP 繁琐的 XML 信封与严格标准栈。

介绍 Burp 扩展 Java Serial Killer：借助 ysoserial 生成 Java 反序列化利用载荷，并直接在 Burp 中编辑注入被代理 HTTP 请求中的序列化对象，简化对存在反序列化漏洞应用的测试流程。

讲解如何为 Burp 扩展配置 Java 远程调试：以 Wsdler 扩展为例，在 IntelliJ 中附加调试器到 Burp 进程，帮助扩展开发者定位自定义代码中的问题。