目錄

前言

模塊介紹

Burp安裝

burp配置與jdk環(huán)境安裝

首次激活

瀏覽器配置

設(shè)置代理端口

導(dǎo)入Burp證書

Chrome瀏覽器導(dǎo)入證書

Firefox導(dǎo)入證書

---

前言

Burp Suite是一個(gè)用于測(cè)試網(wǎng)絡(luò)應(yīng)用程序安全性的圖形化工具，如進(jìn)行HTTP網(wǎng)站流量抓取、數(shù)據(jù)重放、表單爆破等。該工具使用Java編寫，由PortSwigger Web Security開發(fā)。該工具有三個(gè)版本?？梢悦赓M(fèi)下載的社區(qū)版（只有基本功能）、專業(yè)版和試用后可以購(gòu)買的企業(yè)版。社區(qū)版大大減少了功能。它是為網(wǎng)絡(luò)應(yīng)用程序安全檢查提供全面解決方案而開發(fā)的。除了代理服務(wù)器、Scanner和Intruder等基本功能外，該工具還包含更高級(jí)的選項(xiàng)，如Spider、Repeater、Decoder、Comparer、Extender和Sequencer。

模塊介紹

常用模塊介紹如下

• HTTP代理：它作為一個(gè) Web 代理服務(wù)器運(yùn)行，并且位于瀏覽器和目標(biāo) Web 服務(wù)器之間。這允許攔截、檢查和修改在兩個(gè)方向上通過的原始流量。

• Scanner：一個(gè) Web 應(yīng)用程序安全掃描器，用于執(zhí)行 Web 應(yīng)用程序的自動(dòng)漏洞掃描。

• Intruder：對(duì)web應(yīng)用程序進(jìn)行自動(dòng)化攻擊

• Repeater：一個(gè)可以用來手動(dòng)測(cè)試應(yīng)用程序的簡(jiǎn)單工具。它可以用于修改對(duì)服務(wù)器的請(qǐng)求，重新發(fā)送它們并觀察結(jié)果。

• Decoder：編碼解碼工具

Burp安裝

burp配置與jdk環(huán)境安裝

burp的使用需要jdk環(huán)境，新版的burp需jdk版本大于11

• JDK 13

• burp 2022.9.1

burp配置

下載安裝包后新增burp.bat文件，用于啟動(dòng)burp

java -javaagent:ja-netfilter.jar --add-opens=java.desktop/javax.swing=ALL-UNNAMED --add-opens=java.base/java.lang=ALL-UNNAMED --add-opens=java.base/jdk.internal.org.objectweb.asm=ALL-UNNAMED --add-opens=java.base/jdk.internal.org.objectweb.asm.tree=ALL-UNNAMED --add-opens=java.base/jdk.internal.org.objectweb.asm.Opcodes=ALL-UNNAMED -jar burpsuite_pro_v2022.9.1.jar

Java環(huán)境安裝

1. 安裝jdk13

下載地址：Java Archive Downloads - Java SE 13

首次激活

將burp中的所有文件復(fù)制到burp中的jdk目錄中

雙擊burp.bat啟動(dòng)burp和ddosi.org.vbs，啟動(dòng)burp和license加載器

如下

復(fù)制過去點(diǎn)擊next

點(diǎn)擊Manual actication

如下操作

點(diǎn)擊next

出現(xiàn)Success說明成功，最后點(diǎn)擊Finish進(jìn)入到burp

根據(jù)頁(yè)面提示，點(diǎn)擊next —> Start Burp

調(diào)整burp字體

然后把字體改成14或者12，這樣能解決光標(biāo)一放到http請(qǐng)求體中，字體見間距就變大的問題（高清屏下的問題）

瀏覽器配置

設(shè)置代理端口

可以通過瀏覽器自帶的代理進(jìn)行代理設(shè)置，或者是通過代理插件來設(shè)置代理

瀏覽器中點(diǎn)擊設(shè)置—網(wǎng)絡(luò)設(shè)置

設(shè)置代理服務(wù)器和端口，與burp中的監(jiān)聽端口相對(duì)應(yīng)

導(dǎo)入Burp證書

當(dāng)我們掛了burp代理但是沒有導(dǎo)入證書的話，我們抓取https網(wǎng)站流量的包會(huì)顯示不安全，如下這樣

Chrome瀏覽器導(dǎo)入證書

1. 下載證書

掛上bp代理，地址欄輸入 127.0.0.1:8080，將證書下載下來保存為.cer結(jié)尾的文件

2. 導(dǎo)入證書

地址欄輸入

chrome://settings/security

選擇管理證書

選擇受信任的根證書頒發(fā)機(jī)構(gòu)，將保存的證書導(dǎo)入就行，然后關(guān)閉瀏覽器重新訪問百度，發(fā)現(xiàn)可以正常訪問了

安裝代理插件

Chrome默認(rèn)使用的是系統(tǒng)全局代理，這樣很不方便抓包。我們只想chrome瀏覽器的流量轉(zhuǎn)到burp，所以使用代理插件

1. SwitchyOmega_Chromium

下載地址 ->chrome代理

2. 導(dǎo)入插件

選擇如下

將開發(fā)者模式打開如下

3. 將下載的代理文件解壓，然后將整個(gè)文件夾托進(jìn)行，然后配置一下就可以了

配置好后如下

Firefox導(dǎo)入證書

1. 下載證書

地址欄輸入 http:burp，下載證書，保存為.cert

2. 導(dǎo)入證書

地址欄輸入

about:preferences#searchResults

搜索證書

點(diǎn)擊導(dǎo)入

勾選信任

導(dǎo)入之后，關(guān)閉瀏覽器，重新打開就可以了。

如果有時(shí)候火狐瀏覽器訪問https的網(wǎng)站顯示對(duì)等端的證書有一個(gè)無效的簽名而訪問失敗，則是證書壞了，重新按照上面的步驟導(dǎo)入證書就行， 然后重啟瀏覽器。

安裝代理插件

也推薦使用“SwitchyOmega”

訪問：

https://addons.mozilla.org/zh-CN/firefox/search/?q=SwitchyOmega

進(jìn)行安裝即可文章來源地址http://www.zghlxwxcb.cn/news/detail-423178.html