010-基础入门-HTTP数据包&amp；Postman构造&amp；请求方法&amp；请求头修改&amp；状态码判断

结论：

Response状态码

选中抓取数据包，发送至repeater（Repeater 是一个手动修改并补发个别 HTTP 请求，并分析他们的响应的工具。它最大的用途就是和其他 Burp Suite 工具结合起来。你可以从目标站点地图，从 Burp Proxy 浏览记录，或者从 Burp Intruder 攻击结果上的请求，发送到 Repeater 上，并手动调整这个请求来微调对漏洞的探测或攻击。），

修改数据包内容

若response返回200证明正常接收

403；服务器收到请求，但是拒绝提供服务

1、数据是否正常 2、文件是否存在 3、地址自动跳转 4、服务提供错误**

注：容错处理识别

1xx:指示信息—表示请求已接收，继续处理。
2xx:成功—表示请求已经被成功接收、理解、接受。
3xx:重定向—要完成请求必须进行更进一步的操作。
4xx:客户端错误—请求有语法错误或请求无法实现。
5xx:服务器端错误—服务器未能实现合法的请求。

•200 OK：客户端请求成功
•301 redirect：页面永久性移走，服务器进行重定向跳转；
•302redirect：页面暂时性移走，服务器进行重定向跳转，具有被劫持的安全风险；
•400 BadRequest：由于客户端请求有语法错误，不能被服务器所理解；
•401 Unauthonzed：请求未经授权。
•403 Forbidden：服务器收到请求，但是拒绝提供服务。
•404 NotFound：请求的资源不存在，例如，输入了错误的URL； •500InternalServerError：服务器发生不可预期的错误，无法完成客户端的请求；
•503ServiceUnavailable：服务器当前不能够处理客户端的请**

#案例-文件探针&登录爆破

-实验：

1、页面正常访问

2、网站文件探针

• 抓取页面数据包
• 将数据包发送至Intruder（Intruder模块是一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing 技术探测常规漏洞。）
• 首先点击clean清除所有§§，在GET /§11§ HTTP/1.1中间加入11并选中11按下add§
• 点击Payloads，add添加需要替换的文件名称，点击Options修改error handing，将Payload Encoding取消选中
• 点击Intruder，Start获取到响应页面是否正常访问

3、后台登录爆破

• 抓取登录不上的数据包，再次抓取登录成功的数据包，正确密码为12345678，对比两者区别
• 将登录错误的数据包发送至repeater，将错误密码1234567修改为12345678再发送，发现返回500出现错误，证明只修改明文密码无法登录成功，连着后面的加密文一起修改302成功登录

💡 edtUserName=admin&edtPassWord=1234567&btnPost=%E7%99%BB%E5%BD%95&username=admin**&password=fcea920f7412b5da7be0cf42b8c93759**&savedate=1

💡 edtUserName=admin&edtPassWord=12345678&btnPost=%E7%99%BB%E5%BD%95&username=admin**&password=25d55ad283aa400af464c76d713c07ad**&savedate=1

总结；由此得出必须同时替换明文密码和加密密码才能成功登入

登录爆破思路：

• 抓取登录失败的数据包
• 发送至Intruder，首先点击clean清除所有§§，选中明文密码和加密密码add§，模式选用Cluster bomb，也就是两个不同字典进行替换
• 通过加入字典来一一识别爆破，字典是明文，先判断出此密码的加密方式，开启burp应用自带的密文加密

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）

本涵盖了95%以上网络安全知识点，真正体系化！**

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）
[外链图片转存中…(img-4rdOm4Ia-1712464276344)]