Burp Suite

是一款集成化的滲透測(cè)試工具，包含了很多功能，可以幫助我們高效地完成對(duì)Web應(yīng)用程序的滲透測(cè)試和攻擊。

Burp Suite由Java語(yǔ)言編寫，基于Java自身的跨平臺(tái)性，使這款軟件學(xué)習(xí)和使用起來(lái)更方便。Burp Suite不像其他自動(dòng)化測(cè)試工具，它需要手工配置一些參數(shù)，觸發(fā)一些自動(dòng)化流程，然后才會(huì)開始工作。

Burp Suite可執(zhí)行程序是Java文件類型的jar文件，免費(fèi)版可以從官網(wǎng)下載。免費(fèi)版的Burp Suite會(huì)有許多限制，無(wú)法使用很多高級(jí)工具，如果想使用更多的高級(jí)功能，需要付費(fèi)購(gòu)買專業(yè)版。專業(yè)版與免費(fèi)版的主要區(qū)別有以下三點(diǎn)。

Burp Scanner
工作空間的保存和恢復(fù)
拓展工具，如Target Analyzer、Content Discovery和Task Scheduler
burp suite就是一個(gè)抓包、改包工具

burp suite就是一個(gè)抓包、改包工具

Burp Suite入門

設(shè)置代理

burp suite代理工具是以攔截代理的方式，攔截所有通過(guò)代理的網(wǎng)絡(luò)流量，如客戶端的請(qǐng)求數(shù)據(jù)、服務(wù)端的返回信息等。burp suite主要攔截HTTP和HTTPS 寫協(xié)議的流量，通過(guò)攔截，burp以中間人的方式對(duì)客戶端的請(qǐng)求數(shù)據(jù)、服務(wù)端的返回信息做各種處理，以達(dá)到安全測(cè)試的目的。

在日常工作中，最常用的web客戶端就是web瀏覽器，我們可以通過(guò)設(shè)置代理信息，攔截web瀏覽器的流量，并對(duì)經(jīng)過(guò)burp代理的流量數(shù)據(jù)進(jìn)行處理。burp運(yùn)行之后，Burp Proxy默認(rèn)本地代理端口為8080。如圖：

HTTP的代理

以Firedox瀏覽器為例：
打開菜單——》選項(xiàng)——》網(wǎng)絡(luò)代理——》設(shè)置——》手動(dòng)配置代理
127.0.0.1端口是8080

如上圖所示，設(shè)置HTTP代理為127.0.0.1，端口為8080，與burp Proxy中的代理一致
端口在0~65535之間設(shè)置
手動(dòng)代理：代理到本機(jī)，因?yàn)橄胱尀g覽器通過(guò)本機(jī)把流量發(fā)送到這個(gè)端口，再由burp監(jiān)聽到，把包攔下來(lái)（端口的選擇要和burp一樣）
HTTP代理（因?yàn)樽サ氖莌ttp的包）

設(shè)置完后，burp就可以抓包了。
重新打開：

Burp Suite 是用于攻擊web 應(yīng)用程序的集成平臺(tái)，包含了許多工具。BurpSuite為這些工具設(shè)計(jì)了許多接口，以加快攻擊應(yīng)用程序的過(guò)程。
二、工具欄功能簡(jiǎn)介

Proxy（代理）

Burp Proxy的攔截功能主要由intercept（intercept攔截/截奪）選項(xiàng)卡中的Forward、Drop、Interception is on/off和Action構(gòu)成，他們的功能如下所示。

Forward（放包）表示將攔截的數(shù)據(jù)表或修改后的數(shù)據(jù)包發(fā)送至服務(wù)器端。
Drop（廢包）表示丟棄當(dāng)前攔截的數(shù)據(jù)包
Interception is on（攔截請(qǐng)求）表示開啟攔截功能，單擊后變?yōu)閕nterception is off（攔截禁用），表示關(guān)閉攔截功能

單擊Action（行動(dòng)）按鈕，可以將數(shù)據(jù)包進(jìn)一步發(fā)送到Spider、scanner、Repeater、Intruder等功能組件做進(jìn)一步測(cè)試，同時(shí)也包含改變數(shù)據(jù)包請(qǐng)求方式及其body的編碼功能。（發(fā)送到其他功能組件）

打開瀏覽器，輸入需要訪問(wèn)的URL并按回車鍵，這時(shí)將看到數(shù)據(jù)流量經(jīng)過(guò)Burp Proxy并暫停，直到單擊Foreword按鈕，才會(huì)繼續(xù)傳輸下去。如果單擊了Drop按鈕，這次通過(guò)的數(shù)據(jù)將丟失，不再繼續(xù)處理。

當(dāng)Burp Suite攔截的客戶端和服務(wù)器交互之后，我們可以在Burp Suite的消息分析選項(xiàng)中查看這次請(qǐng)求的實(shí)體內(nèi)容、消息頭、請(qǐng)求參數(shù)等信息。Burp有四種消息類型顯示數(shù)據(jù)包：Raw、Params、Headers和Hex。

1.Raw主要顯示web請(qǐng)求的raw格式，以純文本的形式顯示數(shù)據(jù)包，包含請(qǐng)求地址、Http協(xié)議版本、主 機(jī)頭、瀏覽器信息、Accept可接受的內(nèi)容類型、字符集、編碼方式、cookie等，可以通過(guò)手動(dòng)修改這些信息，對(duì)服務(wù)器端進(jìn)行滲透測(cè)試。（Raw就是以文本的形式顯示數(shù)據(jù)包）

2.Params主要顯示客戶端請(qǐng)求的參數(shù)信息，包括GET或者POST請(qǐng)求的參數(shù)、cookie參數(shù)?？梢酝ㄟ^(guò)修改這些請(qǐng)求參數(shù)完成對(duì)服務(wù)器端的滲透測(cè)試。

3.Headers中顯示的是數(shù)據(jù)包中的頭信息，以名稱、值的形式顯示數(shù)據(jù)包。

4.Hex對(duì)應(yīng)的是Raw中信息的二進(jìn)制內(nèi)容，可以通過(guò)Hex編輯器對(duì)請(qǐng)求的內(nèi)容進(jìn)行修改，在進(jìn)行00截?cái)鄷r(shí)非常好用文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-600219.html

到了這里，關(guān)于Burp Suite---滲透測(cè)試工具的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！