burpsuite

一、简介

Burp Suite是用于攻击web应用程序的集成平台。它包含了许多工具，并为这些工具设计了许多接口，以促进加快攻击应用程序的过程。所有的工具都共享一个能处理并显示HTTP消息，持久性认证、代理、日志、警报的一个强大的可扩展的框架。

Target（目标）-显示目标目录结构的一个功能

Proxy（代理）-拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许拦截、查看、修改在两个方向上的元石数据流

Spider（蜘蛛）-应用智能感应的网络爬虫，能完整的枚举应用程序的内容和功能

Scanner（扫描器）-高级工具，执行后，他能自动地发现web应用程序的安全漏洞

Intruder（入侵）-一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing技术探测常规漏洞

Repeater（中继器）-一个靠手动操作来触发单独的HTTP请求，并分析应用程序响应的工具

Sequencer（会话）-用来分析那些不可预知的应用程序会话令牌和重要数据项的随机性的工具

Decoder（解码器）-进行手动执行或对应用程序数据者智能解码编码的工具

Comparer（对比）-通常是通过一些相关的请求和响应得到两项数据的一个可视化的差异

Extender（扩展）-可以加载Burp Suite的扩展，使用自己的或第三方代码来扩展Burp Suite的功能

Options（设置）-对Burp Suite的一些设置

二、配置

在user options的display里面配置的是burpsuite的外观

Http Message Display下的font设置字体样式，推荐使用Monospaced，因为有些样式在抓包过程中可能是乱码，字体大小体现在抓包的数据包的字体大小。

编码格式使用UTF8

三、代理谷歌浏览器

google商店安装Proxy SwitchySharp插件

设置浏览器代理

选择设置的代理burp

配置代理之前直接访问可以正常访问

配置代理之后访问

原因是因为没有配置证书

证书配置：

首先禁用拦截

然后浏览器访问burp/，然后点击CA Certificate下载证书

然后安装证书

选择受信任的根证书颁发机构，然后导入证书

要选择所有文件才能看到刚才下载的证书，然后一直下一步，直到安装

这一条即是刚才所安装的证书

重启浏览器，打开burpsuite的拦截请求，然后再访问百度，可以看到能正常访问了

如果是模拟器，则下载文件后，需要改成.cer后缀，然后打开设置，从SD卡安装证书，然后找到下载的证书文件，输入密码后，安装证书。