Burpsuite加解密插件Galaxy实战入门：从安装到首条解密请求
1. Galaxy插件初探：为什么你需要这个加解密神器
第一次听说Burpsuite的Galaxy插件时，我也和大多数安全测试新手一样困惑：Burpsuite本身已经很强大了，为什么还需要这个插件？直到去年参与某金融项目的安全测试，面对层层加密的API请求，我才真正体会到它的价值。
Galaxy本质上是个自动化加解密中间件，它能实时拦截并处理经过Burpsuite的加密流量。想象一下这样的场景：你正在测试一个使用AES+RSA双重加密的电商平台，普通代理只能看到乱码般的请求体。而安装了Galaxy后，这些加密数据会像被施了魔法一样，在Burpsuite的各个模块中自动变成可读的明文。
我整理了几个典型使用场景：
- 金融行业常见的动态加密接口测试
- 移动端APP的签名校验绕过
- 物联网设备加密通信分析
- 前后端分离架构的API安全审计
与同类插件相比，Galaxy有三大杀手锏：首先是算法库丰富，内置AES、DES、RSA等常见算法的hook脚本；其次是组合加密支持，能处理多层嵌套的加密逻辑；最重要的是全模块联动，解密后的请求可以直接在Repeater、Intruder等模块中使用。
2. 环境准备：避开那些坑人的依赖问题
2.1 JDK版本的选择陷阱
第一次安装时，我踩过最深的坑就是JDK版本问题。官方明确要求OpenJDK 17+，但很多人的开发环境还停留在JDK 8。这里有个血泪教训：千万不要用Oracle JDK！我测试过多个版本，只有Amazon Corretto 21的兼容性最稳定。
安装后需要检查两个关键位置：
- 系统环境变量JAVA_HOME必须指向新版本JDK
- Burpsuite启动脚本要显式指定JDK路径
这是我的启动脚本配置（Windows示例）：
@echo off start "Burpsuite" /B "C:\corretto-21.0.4\bin\javaw.exe" -Xmx4G -jar "%~dp0burpsuite_community.jar"2.2 Python环境配置技巧
虽然Galaxy提供了集成Python环境的all-in-one包，但我推荐使用without-jython版本+本地Python3.9组合。这样既避免环境冲突，又能利用本地已安装的第三方库。配置时要注意：
- 在Burpsuite的Python环境设置中指定python.exe路径
- 确保已安装pycryptodome等常用加密库
- 测试环境变量是否生效：
import sys print(sys.path)3. 插件安装实战：从下载到激活
3.1 获取插件的最佳姿势
官方GitHub仓库提供了两种获取方式：
- 直接下载编译好的JAR包（推荐新手）
- 从源码编译（适合需要自定义功能的用户）
我建议首次使用时选择Galaxy-3.1.0-without-jython.jar，文件大小仅15MB左右。下载完成后，通过Burpsuite的Extender模块安装：
- 点击Add按钮
- 选择JAR文件
- 等待控制台输出加载成功的提示
3.2 常见安装报错排查
遇到过最棘手的问题是NoClassDefFoundError，这通常是依赖冲突导致的。解决方法有：
- 删除Burpsuite目录下的旧版本插件
- 检查是否同时加载了其他加解密插件
- 尝试使用
-Dloader.path参数指定依赖路径
如果遇到Python相关错误，可以尝试在burpsuite.properties中添加：
python.path=/path/to/your/python/libs4. 第一个解密请求：手把手实战演示
4.1 配置基础解密规则
让我们以最常见的AES-ECB加密为例。在Galaxy控制面板点击"New Rule"，配置如下参数：
{ "ruleName": "Demo-AES", "algorithm": "AES", "mode": "ECB", "key": "1234567890abcdef", "iv": "", "target": "requestBody", "encoding": "base64" }重点说明几个易错点：
- ECB模式不需要IV参数
- 密钥长度必须符合算法要求（AES需16/24/32字节）
- 编码格式要与实际数据一致
4.2 实时解密效果验证
配置完成后，用Postman发送加密请求到Burpsuite代理。正常情况下，你会在Raw和Hex视图看到原始加密数据，而在Galaxy Decoded标签页看到解密后的明文。
有个实用技巧：在Repeater模块发送解密请求时，勾选"Auto-decrypt"选项，这样响应也会自动解密。我常用这个功能测试加密接口的SQL注入漏洞。
5. 进阶技巧：让解密更高效
5.1 动态密钥处理方案
实际项目中更常见的是动态密钥场景，Galaxy支持通过Python脚本实时计算密钥。比如处理时间戳加密的场景：
def get_key(param): import time ts = int(time.time()) return f"key_{ts}".encode()在规则配置的Key字段填写python:get_key即可调用。
5.2 组合加密的破解之道
遇到RSA+AES组合加密时，可以创建级联规则：
- 先用RSA规则解密出AES密钥
- 再用AES规则解密实际数据
配置时注意勾选"Chained Mode"，并设置正确的规则执行顺序。上周我刚刚用这个方法成功测试了某区块链平台的API接口。
6. 调试与排错指南
6.1 日志分析要领
Galaxy的调试日志分为三个级别：
- INFO：常规操作记录
- DEBUG：算法执行细节
- TRACE：数据包字节级输出
建议调试时先开DEBUG级别，查看关键节点的数据处理情况。比如发现解密失败时，可以检查：
- 是否成功捕获到目标请求
- 密钥是否正确应用
- 编码转换是否正常
6.2 性能优化建议
处理高并发流量时，可以调整这些参数：
- 线程池大小（默认10个线程）
- 缓存过期时间（默认300秒）
- 批量处理阈值（默认50个请求）
在测试电商秒杀接口时，我将线程池扩大到50个后，解密延迟从200ms降到了80ms左右。
7. 安全测试实战案例
去年在某银行项目中发现一个有趣的漏洞：虽然接口使用了RSA加密，但Galaxy的日志显示服务器实际上接受明文请求。通过这个发现，我们最终绕过了前端加密验证，直接通过Burpsuite发送未加密的恶意请求完成了越权测试。
另一个典型案例是某IoT设备的管理接口。设备使用动态AES密钥，但密钥生成算法写在客户端JavaScript里。用Galaxy的脚本注入功能，我们成功还原了密钥生成逻辑，进而实现了对固件升级包的篡改。
这些实战经验告诉我，再复杂的加密也抵不过配置疏忽。Galaxy的价值就在于它能帮我们快速验证各种加密实现是否存在逻辑缺陷。