Burp Suite—常规操作

抓包分析软件

从安装到使用抓包分析软件

一、Burp Suite—简介

Burp Suite 是一个集成化的渗透测试工具，它集合了多种渗透测试组件，使我们自动化或手工地能更好的完成对web应用的渗透测试和攻击。在渗透测试中，我们使用 Burp Suite 将使得测试工作变得更加容易和方便，即使在不需要娴熟的技巧的情况下，只有我们熟悉 Burp Suite 的使用，也使得渗透测试工作变得轻松和高效。

Burp Suite 是用于攻击web应用程序的集成平台，包含了许多工具。Burp Suite 为这些工具设计了许多接口，以加快攻击应用程序的过程。所有工具都共享一个请求，并且能够处理对应的HTTP消息、持久性、认证、代理、日志、警报。

Burp Suite 是我们渗透测试人员在工作中最常用的工具，用来分析数据包进行测试。

二、Burp Suite—原理

浏览器和相关应用程序的中间拦截、修改、重放数据包的代理工具

三、Burp Suite—安装配置

1、安装Java 64位环境

https://www.java.com/zh_CN/download/

2、安装 jython 环境 jar 版本

https://www.jython.org/downloads.html

3、安装 Jruby 环境 jar 版本

https://www.jruby.org/download

4、设置浏览器代理

5、导入 HTTPS 证书

四、常用模块介绍

在渗透测试常用到的模块

1、Burp Target模块

查看目标整体情况，以及可能存在的攻击面，包含目录爬行等信息

教程链接：https://blog.csdn.net/u011781521/article/details/54463637

2、Burp Proxy模块

综合的分析数据模块，提供历史数据以及代理配置选项

教程链接：https://blog.csdn.net/u011781521/article/details/54426967?

3、Burp Intruder模块

自动化测试工具，在渗透测试中常常使用该模块进行模糊测试等情况?

教程链接：https://blog.csdn.net/weixin_44037296/article/details/102781785?

4、Burp Repeater模块

手工验证HTTP消息的测试，用于多次重放请求响应和手工修改请求消息的修改后对服务器端响应的消息分析

教程链接：https://blog.csdn.net/u011781521/article/details/54772846?

5、Burp Extender模块

Burp自带的第三方插件库，允许用户自己添加以及下载?

教程链接：https://blog.csdn.net/u011781521/article/details/54774027?

6、Burp Decoder模块

教程链接：https://blog.csdn.net/u011781521/article/details/54773780?

五、Burp Suite—插件利用检测

1、插件的安装

1、安装 python 环境

2、安装 sqlmap

3、添加环境变量

4、下载 sqlmap.jar 扩展包：http://pan.baidu.com/s/1skDVwq5 密码：ce5f

4、burp 加载插件

2、XSS插件的安装

1、Phantomjs 下载：http://phantomjs.org/download.html 配置环境变量，把bin目录下的exe加入环境变量，文件放在python script目录下

2、安装 xssValidator BApp Store

3、下载 xss.js 下载地址为：https://github.com/nVisium/xssValidator

4、利用 phantomjs 运行xss.js C:?

3、XSS插件和Burp使用

1、配置插件

2、抓包发送到 Intruder

3、配置 payload s为 xssValidator

4、配置 Intruder options 的 grep - match

5、开始

4、开源的插件项目

Burp Suite 的强大除了自身提供了丰富的可供测试人员使用的功能外，其提供的支持第三方拓展插件的功能也极大的方便使用者编写自己的自定义插件。Burp Suite 支持的插件类型有 Java、Python、Ruby 三种。无论哪种语言的实现，开发者只要选择自己熟悉的语言，按照接口规范去实现想要的功能即可。?