interceptor: ein selbst gehostetes Burp-Suite-Alternative-Toolkit

Neues Open-Source-Projekt: interceptor, ein selbst gehostetes Web-Security-Testing-Toolkit im Stil von Burp Suite – nur eben als Django-Anwendung in Docker-Containern statt als Java-Desktop-App.

Warum nicht einfach Burp Suite nutzen?

Burp ist der Industriestandard, keine Frage. Aber als Desktop-Java-App läuft es isoliert auf einem Rechner, Daten liegen in proprietären Projekt-Dateien, und Automatisierung/Integration in eigene Workflows ist eingeschränkt. Ich wollte einen Stack, der:

• Web-basiert und selbst gehostet ist – Zugriff über den Browser, Daten in Postgres statt in einer lokalen Projektdatei,
• containerisiert läuft, also reproduzierbar und portabel ist,
• sich mit Python/Django-Bordmitteln erweitern lässt, statt Burp-Extensions in Java zu schreiben.

Was aktuell funktioniert

• Intercepting Proxy + HTTP History – mitmproxy fängt jeden Request/ Response ab und schreibt ihn nach Django. Suchen, filtern, sortieren, Requests als “Getestet”/“Interessant” markieren, scope-bewusster Capture-Modus.
• Open Browser (./browse.sh) – ein isoliertes Chromium-Profil, das automatisch auf den Proxy zeigt, Burp-Style.
• Site Map – Host/Pfad-Baum, zusammengeführt mit per JS entdeckten Endpunkten, inklusive Risiko-Badges aus den Findings.
• Repeater – Request bearbeiten und erneut senden, Response daneben, Content-Length wird automatisch neu berechnet.
• Intruder – Sniper-Angriff mit automatisch erkannten §payload§-Stellen, typisierte/generierte/Wordlist-Payloads, sortier- und filterbare Ergebnisse mit Anomalie-Hervorhebung.
• Aktiver Scanner – opt-in, scope-geprüft: fehlende Security-Header, reflected-XSS- und error-based-SQLi-Sonden, Verzeichnis-/Datei-Bruteforce.
• Toolbox – nmap, searchsploit (~48.000 Exploits) und nuclei (~13.500 Templates), automatisch verkettet ausgehend von erkannten Diensten/Technologien, alles scope-geprüft.
• Crawler – rate-limitierter Spider mit randomisiertem, menschenähnlichem Timing; ignoriert robots.txt bewusst.
• Technologie-Erkennung – passives Fingerprinting aus bereits erfassten Daten, keine zusätzlichen Requests nötig.
• Passiver Scanner – automatische Checks auf jedem Flow (Header, reflektierte Parameter, Fehlerseiten, gemischte Inhalte, geleakte Secrets), daraus resultieren nach Schweregrad eingefärbte Findings mit Export nach CSV/Markdown.
• Vulnerabilities-Workspace – manuell kuratierte Findings-Dokumentation mit angehängten Proof-Requests, Export als Markdown-Report.
• Scope Enforcement – jede Funktion, die Traffic verschickt, prüft zuerst die aktive Scope-Liste und verweigert sich, wenn das Ziel nicht enthalten ist.

Architektur

Fünf Services über Docker Compose: Postgres für alle persistenten Daten, Redis als Celery-Broker, ein Django/Gunicorn-Service für UI und Ingestion-API, ein mitmproxy-Service für den eigentlichen Intercepting Proxy, und ein Celery-Worker für passives/aktives Scanning, Intruder sowie die nmap/searchsploit/nuclei-Tasks. Alle Ports binden ausschließlich an 127.0.0.1 – nach außen ist nichts exponiert.

Sicherheitshinweis

Das Tool fängt echten Traffic ab – inklusive Zugangsdaten und Tokens – und kann reale Requests an reale Hosts schicken (Repeater, Intruder, aktiver Scanner, nmap/nuclei). Nur gegen Ziele einsetzen, für die eine Autorisierung vorliegt. Die Scope-Allowlist ist dabei die zentrale Sicherheitsschranke für alles, was aktiv Traffic verschickt – entsprechend sorgfältig pflegen.

Code und vollständige Setup-Anleitung im Repo: github.com/AlaBYahya/interceptor