🕷 Как быстро добавить скрытые JS chunks в Burp Sitemap

Иногда при тестировании таргета в одном JSON-файле можно найти ссылки на сотни .js chunk-файлов, которые ещё не подгружались в браузере.

Например: приложение лениво загружает модули, а в манифесте уже лежат ссылки на 300+ JS-файлов.

Что можно сделать:
1️⃣ Вытащить ссылки на эти .js chunks → отправить их через Intruder
2️⃣ В таблице результатов Intruder выделить все ответы
3️⃣ Нажать правой кнопкой мыши → Add to Sitemap

После этого Burp добавит найденные ресурсы в Site map, и с ними можно будет работать как с обычными файлами, которые ты нашел при ручном обходе приложения.

Зачем это нужно:
⚫️ Быстрее собрать скрытые роуты приложения
⚫️ Найти API эндпоинты внутри JS
⚫️ Вытащить фича-флаги и dev-настройки
⚫️ Собрать старые ручки, staging-домены и sourcemaps

🔥 Канал в МАХ