简介

Burpsuite 一款网络流量分析工具，用于抓取电脑端、移动端等通信流量。

官网：https://portswigger.net/

安装

最新版Burpsuite需要高版本JAVA（大于JAVA1.8）环境。

目前，我一般系统装备两套JAVA环境。

JAVA环境配置可自行百度。

目前网络上，针对于Burpsuite存在两套破解版。

一套是自带JAVA环境的破解版，一套是需要自己配置JAVA环境的破解版。

功能介绍

Untitled

名称 翻译 简介
Dashboard 仪表盘 项目整体概况
Target 目标 目标整体概况
Proxy 代理 捕获的流量会在这里显示，十分重要
Intruder 测试器 发送大量数据包，用于测试并发、信息遍历、SQL注入语句等
Repeater 重发器 用于验证单个数据包是否存在问题
Decoder 解码器 内置常用加解密算法
Extender 扩展器 用于安装一些第三方插件
Project options 项目选项 一些项目基本设置，可用于设置上游代理、过双向认证
User options 用户选项 一些用户基本设置，可用于设置上游代理、过双向认证

其余功能在测试中使用的比较少，主要使用最多的还是代理功能、测试器、重发器。

教程

  1. 安装Burpsuite证书

    生成CA证书

    Untitled

    系统设置中配置上代理（更好的办法是浏览器安装插件，如谷歌浏览器的SwitchyOmega，火狐浏览器的FoxyProxy）

    Untitled

    本地访问http://127.0.0.1:8080/，下载并安装CA证书。

    Untitled

    选择本地计算机，将证书安装至受信任的根证书颁发机构。

    Untitled

    访问网站，Burpsuite中就会有流量被捕捉。（不装证书也会有流量，但是服务器不一定会响应。）

    Untitled

  2. 重发器

    在Proxy捕获的数据包中，右键发送到重发器。

    Untitled

    在重发器中可以修改数据包，再发送给服务器。

    Untitled

  3. 测试器

    在Proxy捕获的数据包中，右键发送到测试器。

    Untitled

    添加payload

    Untitled

    设置payload类型后，便可以开始攻击。

    Untitled

    可以看到payload被替换了，在日常测试中，我们常常根据状态，长度来判断是否存在安全问题。

    Untitled

注意