burp(3)

声明！

学习视频来自B站up主 **泷羽sec** 有兴趣的师傅可以关注一下，如涉及侵权马上删除文章，笔记只是方便各位师傅的学习和探讨，文章所提到的网站以及内容，只做学习交流，其他均与本人以及泷羽sec团队无关，切勿触碰法律底线，否则后果自负！！！！有兴趣的小伙伴可以点击下面连接进入b站主页[B站泷羽sec](https://space.bilibili.com/350329294)

一、Decoder（编解码工具）

核心功能

• 数据转换：支持 URL 编码 / 解码、Base64、HTML 实体、ASCII、十六进制、MD5/SHA 哈希等常见编解码格式
• 攻击载荷构造：通过编码混淆生成特殊格式的恶意输入（如绕过 WAF）
• 敏感信息解析：解码传输中的加密 / 混淆数据（如 JWT 令牌、序列化数据）

典型应用场景

场景类型	操作示例	价值点
漏洞验证	解码 XSS payload（如%3Cscript%3Ealert(1)%3C/script%3E → <script>alert(1)</script>）	快速识别恶意代码
参数篡改测试	对 POST 请求参数进行二次 URL 编码（如%253D → %3D）	绕过输入过滤逻辑
加密数据解析	Base64 解码响应中的敏感信息（如aHR0cHM6Ly93d3cubXl3ZWJzaXRlLmNvbQ== → https://www.mywebsite.com）	提取隐藏 URL

二、Comparer（差异比较器）

核心功能

• 二进制 / 文本对比：精确显示两个请求 / 响应的字节级差异
• 结构化数据支持：对比 XML/JSON 格式数据的层级差异
• 可视化差异标记：通过颜色高亮显示新增、删除、修改的内容

典型应用场景

场景类型	操作示例	价值点
文件上传漏洞验证	对比正常文件与恶意文件（如normal.txt vs shell.jsp）的响应差异	发现服务器对文件类型的处理逻辑
会话状态分析	对比登录前后的 Cookie 值变化	检测会话令牌的生成机制
WAF 绕过测试	对比原始请求与添加特殊字符后的响应差异	判断 WAF 规则是否被成功绕过

三、Logger（日志记录器）

核心功能

• 全流量记录：自动保存所有经过代理的 HTTP/HTTPS 请求与响应
• 元数据存储：记录请求时间、客户端 IP、响应时间等上下文信息
• 灵活检索：支持按 URL、状态码、关键字等条件快速过滤日志

典型应用场景

场景类型	操作示例	价值点
漏洞复现	回溯测试过程，定位触发漏洞的具体请求步骤	辅助漏洞分析与报告生成
异常行为排查	搜索包含SQL syntax error的响应日志	发现潜在 SQL 注入漏洞
合规审计	导出指定时间段内的所有敏感操作日志（如用户数据查询）	满足 GDPR 等法规要求

四、模块协同工作流

1. Decoder 预处理：对捕获的加密参数进行解码 → 2. Comparer 分析：对比修改前后的响应差异 → 3. Logger 归档：将关键测试用例保存到日志库

五、学习建议

1. Decoder：重点掌握 URL 编码与 Base64 的双向转换，练习构造多层编码攻击载荷
2. Comparer：结合Repeater模块，对比不同参数修改后的响应差异
3. Logger：配置日志存储路径为独立目录，定期清理旧日志以提升性能

注意事项：Logger 会显著增加内存消耗，建议在高并发测试时限制记录范围。