软件介绍
Burp Suite 是用于攻击web 应用程序的集成平台,包含了许多工具。Burp Suite为这些工具设计了许多接口,以加快攻击应用程序的过程。所有工具都共享一个请求,并能处理对应的HTTP 消息、持久性、认证、代理、日志、警报。
基本信息
Burp Suite 能高效率地与多个工具一起工作,例如:
一个中心站点地图是用于汇总收集到的目标应用程序信息,并通过确定的范围来指导单个程序工作。
在一个工具处理HTTP 请求和响应时,它可以选择调用其他任意的Burp工具。例如:
代理记录的请求可被Intruder 用来构造一个自定义的自动攻击的准则,也可被Repeater 用来手动攻击,也可被Scanner 用来分析漏洞,或者被Spider(网络爬虫)用来自动搜索内容。应用程序可以是“被动地”运行,而不是产生大量的自动请求。Burp Proxy 把所有通过的请求和响应解析为连接和形式,同时站点地图也相应地更新。由于完全的控制了每一个请求,你就可以以一种非入侵的方式来探测敏感的应用程序。
当你浏览网页(这取决于定义的目标范围)时,通过自动扫描经过代理的请求就能发现安全漏洞。
IburpExtender 是用来扩展Burp Suite 和单个工具的功能。一个工具处理的数据结果,可以被其他工具随意的使用,并产生相应的结果。
安装步骤
1.单击下方网站,下载软件。
burpsuite下载官方网站:https://portswigger.net/burp/releases
2.双击下载好的程序,安装软件。
3.选择next。
4.设置安装路径,单击next。
5.单击next。
6.等待安装。
7.安装成功。
pikachu测试暴力破解
1.启动程序,单击next。
2.单击start burp。
3.稍等。
4.使用火狐浏览器,设置代理。
5.随意输入账户和密码,然后login。
6.在burpsuite工具中找到端口请求。
7.将端口请求发送到intruder。
8.打开intruder菜单,清理标记符。
9.将账号和密码部分设置攻击标记符。
10.设置攻击类型,设置为cluster bomb。
11.输入攻击账号字典。
12.输入攻击密码字典。
13.复制登录失败的提示信息。
14.键入刚才那句错误提示信息,不包括最后那个符号:~。
15.将滚动条滑到顶部,单击start attack,开始攻击。
16.出现下图点击ok即可(这里是提示版本不支持的功能),看最后那个1,没有的就可能是正确的账号和密码,有1的代表是出现了错误信息提示的;再看length的长度,与其他均不同的就可能是正确的账号密码。
17.找出可能的账号,密码输入网页测试,出现login success即是登录成功。