如何导入BurpSuite 证书

0x00 背景

    当使用burp进行拦截HTTPS流量时，往往需要在浏览器导入证书，对于刚刚接触burp的同学来说，查看官方文档是最好的帮助。仅以此文作为案例。

    当导入的证书有问题的时候，会发现出现各种错误，例如浏览器出现HSTS错误、无法捕获到HTTPS流量等异常问题。

0x01 导入burp证书

   默认情况下，当您通过Burp浏览HTTPS网站时，代理会为每个主机生成一个SSL证书，并由其自己的证书颁发机构（CA）证书签名。此CA证书是在Burp第一次运行时生成的，并存储在本地。要在HTTPS网站上最有效地使用Burp代理，您需要在浏览器中安装Burp的CA证书作为受信任的根。如果尚未执行此操作，则将浏览器配置为使用Burp作为其代理，并配置Burp的代理侦听器以生成CA签名的每主机证书（这是默认设置）。然后使用下面的链接获取有关在不同浏览器中安装Burp的CA证书的帮助

浏览器打开：http://burp/ 

点击【CA  Certificate】, 然后点击该证书文件【cacert.der】，进行安装，如下图所示：

一定要选择是：【受信任的根证书颁发机构】

0x02 手机安装burp证书

       您可能需要在移动设备上安装Burp的CA证书。首先，确保将移动设备配置为可与Burp Suite一起使用。然后使用下面的链接获取有关在移动设备上安装Burp的CA证书的帮助：

https://support.portswigger.net/customer/portal/topics/754329-mobile-devices/articles

• 配置iOS设备以使用Burp
• 配置Android设备以与Burp配合使用
• 配置Windows Mobile设备以使用Burp
• 在iOS设备上安装Burp的CA证书
• 在Android设备上安装Burp的CA证书
• 在Windows Mobile设备中安装Burp的CA证书
• 在OS X中创建临时无线网络
• 安装Burp Suite Mobile Assistant
• 配置Burp Suite移动助手

如果不习惯看英文，可以使用Chrome浏览器打开，然后选择翻译成中文，进行查看，如下图：

 

0x03 burp导入网站客户端证书

   个别网站需要导入客户端的XX.P12证书，如果没有导入直接访问网站，浏览器会提示：400 Bad Request , 出现：No required SSL certificate was sent等提示，如下图

1、在burp导入网站客户端xx.p12证书的会提示要求输入密码，如果我们知道密码当然就直接输入，但是有时候生成证书或者网站根本没有设置密码。这时候会导致证书无法导入
2、先在firefox导入这网站的客户端证书，然后再备份出来，备份出来的时候，自己输入密码a

不用输入密码，直接点击【确定】，

3、把新备份证书导入burp 就可以了，这个时候输入密码a就可以成功导入客户端证书了。

0x04 帮助文档

https://support.portswigger.net/customer/portal/articles/1783075-installing-burp-s-ca-certificate-in-your-browser