BurpSuite学习第一节--基础知识

一.BurpSuite的用处

Burp Suite是进行Web应用安全测试集成平台。在安全人员常用工具表( https://sectools.org/)，burp suite排在第十三位

 

二.功能模块

Burp suite的模块几乎包含整个安全测试过程，从最初对目标程序的信息采集，到漏洞扫描及其利用

主要模块：

1. Target(目标)---
2. Proxy(代理)---是一个拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人。允许拦截，查看，修改在两个方向上的原始数据流
3. Spider(蜘蛛)---是一个应用智能感应的网络爬虫，它能完整的枚举应用程序的内容和功能
4. Scanner(扫描器)---是一个高级的工具，执行后能自动地发现web应用程序的安全漏洞
5. Intruder(入侵)---是一个定制的高度可配置的工具，对web应用程序进行自动化攻击；如：枚举标识符，搜集数据，使用fuzzing技术探测漏洞
6. Repeater(中继器)---是一个考手动操作来补发单独的HTTP请求，并分析应用程序响应的工具
7. Sequencer(序列)---是一个用来分析那些不可预知的应用程序对话令牌和重要数据项随机性的工具
8. Decoder(解码器)---是一个进行手动执行或对应用程序数据者智能解码编码的工具
9. Comparer(对比)---是一个实用的工具，通常是通过一些相关的请求和响应得到两项数据的一个可视化的"差异"
10. Extender(扩展)---可以让你加载Burp Suite的扩展，实用你自己的或第三方代码来扩展Burp Suite的功能
11. Project options(项目设置)---是一个对测试项目的设置
12. User options(用户设置)---是一个对Burp Suite进行设置的工具
13. Alerts(警告)---Burp Suite运行过程中发生的开关和错误

PS：这些功能是自带的，后面根据具体功能来添加功能模块

 

三.BurpSuite的应用场景

 BurpSuite的应用场景：

1. HTTP服务端接口测试
2. HTTP客户端和HTTP服务端通信测试
3. Cookie统计分析
4. HTTP服务器WEB安全扫描
5. WEB页面爬取
6. WEB常用编码和解码
7. 字符串随机性简单分析
8. 文件差异对比分析

 

四.Burp Suite的安装

1.Java运行环境

参考：https://blog.csdn.net/u012934325/article/details/73441617/

 2.Burp Suite安装

参考：https://xz.aliyun.com/t/1548/

3.Burp Suite的证书设置

您可以通过浏览器访问http：// burp或输入代理侦听器的URL 来访问Burp Proxy浏览器界面，例如：http://127.0.0.1:8080

您可以下载Burp CA证书的副本，您可以 在浏览器中安装该证书以消除SSL错误

在浏览器安装Burp CA证书的四步：

1. 打开BurpSuite，并且确保下图红颜色框中选项未勾选。并且开启代理监听开启：127.0.0.1:8080
2. 打开google浏览器，进入高级设置。打开代理服务设置，点击局域网设置，并勾选代理服务器选项，填写地址和端口
3. 访问http://burp，下载Burp CA证书 cacert.der
4. 将下载文件导入浏览器管理证书的受信任的根证书颁发机构

 

 如果需要，您可以在代理选项中禁用浏览器中的界面：

 

 4.浏览器代理

浏览器代理可分为直接代理和间接代理

1. 直接代理

直接点击浏览器代理服务设置进行配置

 

2. 间接代理

以google浏览器为例，考虑无法访问外网。访问网站下载switchyomega，网站地址： https://www.switchyomega.com/download/。便于进行系统代理和局域网代理的切换

 

 

 

 

 

 

 

 

 

转载于:https://www.cnblogs.com/LQ6H/p/Burp-Basic.html