第三章---常用的渗透测试工具（burp suite）

学习web安全渗透之前，需了解一下刑法，做合法公民！！！
 
文章中破解的网页为自己搭建，不要去攻击别人的网站，学习主要是用于测试自己的系统，请学习中华人民共和国刑法第285,286条！！！

2.burp suite

burp suite 是一款集成化的渗透测试工具，有java语言编写，所以需要安装java环境，对jdk版本要求较严格（据说1.8.0_91版本不可以，这里我使用的是181）

2.1 环境准备

1—安装jdk（用的1.8.0_181）

----配置环境变量

----路径添加到JAVA_HOME

2—下载burp suite安装包和汉化包

3—破解burp suite

----解压 burpsuitezwb.rar 与 汉化包

----将汉化包中的 BurpSuiteCn.jar 复制到 burpsuitezwb 目录中

----双击打开

----进入到这个界面，点击run

----点击同意

----然后复制内容如下

----然后点击

----进入到新界面后

----然后将 Activation Response 复制粘贴后点击next

----最后finish

----进入这个界面，点击next

----然后 点击start burp

----进入软件界面

2.2 创建burp suite快速启动程序

1----新建一个文本文件

把这个复制进去

2—修改后缀

再次开启时，双击就行，但是此时，开启的是一个服务，会出现一个命令行窗口，不可以关。

3—汉化

里面写入下面语句：

java -Dfile.encoding=utf-8 -javaagent:BurpSuiteCn.jar -Xbootclasspath/p:burp-loader-keygen.jar -Xmx1024m -jar burpsuite_pro_v1.7.32.jar

4—也可以发送到桌面快捷方式

2.3 准备一个 firefox 浏览器

火狐浏览器比较简单，所以这里用火狐，也可用其他浏览器

2.4 使用burp suite

1—用火狐浏览器为例

更改配置

将这里的false改为true

2----打开wampServer服务

3----打开并使用 Burp Suite 工具

2.5 代理（proxy）

（1）打开burp suite，设置代理


（2）开启拦截请求，就会开始拦截，点击放包，放对应的包，就可以继续访问了，或者废包

（3）使用Burp Suite 代理 ( proxy )

• 代理的截断（Intercept）

• 放包（Forward）：将拦截的数据包或者修改后的数据包，发送至 服务器

• 废包（drop）：丢弃当前拦截的数据包

• 拦截请求/拦截禁用（intercept is on/off）：
  
  拦截效果如下：
  
  查看拦截到的相关数据：（要先把拦截放包一下，或者等一下才能看到记录）
  
  当拦截到客户端与服务器交互后，在拦截的选项卡中，我们可以查看 当前请求的实体内容raw，参数params，消息头header，hex.

2.5.1 raw

主要显示当前web请求的raw格式，包含，http协议版本，主机头，请求地址，user-agent浏览器信息，Accept可接受的内容类型，字符集，编码，cookies等等。这些信息我们是可以修改的，为了对服务器进行渗透测试。

2.5.2 params

主要显示 当前web请求的 参数信息，包含get和post请求的参数，cookie。可修改，用于渗透测试

2.5.3 header

内容与raw 相同，只是显示的更好一些

2.5.4 hex

hex视图，显示raw的二进制内容，可以通过hex编辑器来对内容进行修改，也可以直接修改

2.5.5 comment和高亮

comment：可以对当前的请求进行简单描述

高亮：设置高，亮区分消息

如设置备注和高亮

放包后，查看历史记录中的效果

2.5.6 option可选配置项

（1）代理监听器

（2）客户端拦截请求

客户端拦截请求是指 拦截客户端发送到服务器消息的相关配置

（3）服务器响应拦截

（4）拦截WebSocket消息

（5）响应操作

（6）搜索和替换

（7）SSL passthough

（8）其他

2.6 目标（target）

2.6.1 网站地图

2.6.2 范围

2.7 蜘蛛爬行（spider）

蜘蛛爬行功能可以帮助我们了解系统的结构，爬取到的内容将在(Target)中展示

2.7.1 控制

（1）蜘蛛状态

（2）蜘蛛范围

2.7.2 选项

（1）履带设置

robots.txt：一些网站都有这个网站，告诉我们网站不允许我们做什么
（2）抓取代理设置（被动蜘蛛）

（3）表格提交

（4）申请登录

（5）蜘蛛引擎

（6）请求标头（可以模仿类似网站设置）

练习蜘蛛爬行注意点：

• 关闭代理拦截
• 可以清空一下目标站点目录，全选清空

关闭代理

打开蜘蛛爬行

先将目标中的目录全选清空，然后找个网站在火狐浏览器中加载

可能会给警告

• 
  目标中会自动列出网站的结构目录
  

2.8 编码器（decoder）

编码器用来 编码和解码，可以对原始数据进行各种编码和散列的转换。

2.8.1 输入域

选择需要的内容右击发送到编码器

然后编码或解码

2.8.1 输出域

显示结果

2.8.1 编码解码选项

• 解码
• 编码
• 散列(Hash)
  （可以进行多次的编码和解码）

2.9 扫描器（scanner）

Scanner 主要用于自动检测web系统的各种漏洞。

2.9.1 使用条件

• 设置浏览器代理
• 关闭代理拦截功能

在Target目录可以快速浏览 url 树

2.9.2 Scanner 基本使用步骤

1----确认burp suite 正常开启且浏览器代理设置

2----进入代理，关闭代理拦截功能

3----浏览一些网址，Scanner会扫描通过代理服务的请求，并对请求的信息进行简单辨别判断是否存在漏洞。我们在targert 中可以显示请求的url树

此处打开了 127.0.0.1/xss、127.0.0.1/sql、127.0.0.1/sql/less1、127.0.0.1/sql/less1/?id=1

4----在Target中查看

5----有针对性的选择Target Site 下的某个节点上的url上，主动扫描执行

点击next：



6----查看扫描

7----选中一条，双击，会弹出问题窗口


下面会为我们列出一些内容，我们必须了解

2.10 重发器（repeater）

可以把内容发送到重发器，可以进行实时调试

2.11 报告

1----主动扫描出漏洞，可以将问题发送成报告

2----报告

可以具体点击查看内容

2.12 测试器（Intruder）

自动化测试工具

从以下内容展开测试器的学习：

• intruder 使用场景和操作步骤
• payload 负荷类型与处理
• payload 载荷位置和攻击类型
• 可选项options设置
• intruder 攻击结果分析

2.12.1 intruder 使用场景和操作步骤

工作原理：
在原始请求数据的基础上，通过修改各种请求参数，获取不同的响应，在每一次请求中，测试器会携带一个或多个有效攻击载荷payload，在不同的位置进行攻击重放，服务器会给出响应。通过对比响应数据来获得特征数据。

使用场景：

操作步骤：
（1）启动burp suite，浏览器代理设置完成
（2）关闭代理拦截
（3）寻找存在问题的链接，一般在站点目录右侧的内容中或者代理的历史记录中。

（4）进入到测试器选项卡，如下：

（5）测试器是根据原有的请求进行攻击的，原始信息上会设置攻击载荷payload，通过payload来获取响应信息，默认情况下，Intruder测试器会对请求参数和cookies参数设置为符合位置 payload position，会在前后增加 § ，并标为红色，当发送请求时§ §中的数据就会……

2.12.2 payload 负荷类型与处理

2.12.3 payload 载荷位置和攻击类型

----payload 载荷：
有效载荷：


点击开始攻击后，可能会报错：




----攻击类型：

• 狙击手（Sniper）
  一个一个的来，使用单一payload组，常用于请求参数的漏洞测试，只会替换被 §标记的文本

       若有多个标记位置，每次也只使用payload替换一个位置

• 破城槌（Battering）
  通常用于不同的标记位要进行相同的攻击

• 音叉（Pitchfork）
  同步迭代多个payload ，适用于不同位置放不同的位置，一般在账号密码破解。
  增加两个payload：
  
  选择攻击类型为音叉攻击，就可以看到payload增加为2个
  
  分别添加载荷列表
  
  
  注意：两个载荷列表形成一个字典，账号密码要对应，刚好有一组账号密码相同，就会登录成功了。
  开始攻击
  
  
• 集束炸弹（Clusterbomb）
  用排列组合暴力破解
  操作：登录xss平台，需要两个账号，再注册一个账号（需要邀请码，前面设置的）
  
  
  现在xss平台有两个账号啦
  
  接下来暴力破解我们的账号
  
  
  
  排列组合攻击，一共是4*3=12次
  
  
  ----使用字典：
  
  
  载入文件
  自由组合进行这么多次攻击：
  
  更多时候，暴力破解结合社工更好
  https://github.com/LandGrey/pydictor

当载荷类型为运行时文件时，在添加文件的路径上不能有中文。

2.13 学到这里就要了解一下刑法了

2.14 定序器（sequencer）

检测数据样本随机性质量的工具，常用于检测访问令牌是否可预测、密码重置令牌是否可预测。

2.15 对比器（comparer）

提供一个可视化的差异对比功能，来查看数据的区别。常用于：枚举用户名账号密码、成功与失败的数据进行对比；sql注入时，不同的参数得到的结果进行对比；intruder攻击时对响应结果进行对比。

…