BurpSuite之功能介绍

零字节

于 2024-12-01 13:18:14 发布

阅读量1.1k

点赞数 23

分类专栏：红队从入门到入狱文章标签：网络安全 web安全

本文链接：https://blog.csdn.net/qq_35690972/article/details/144167258

版权

红队从入门到入狱专栏收录该内容

20 篇文章

订阅专栏

学习视频来自B站UP主泷羽sec，如涉及侵权马上删除文章。
笔记只是方便学习，以下内容只涉及学习内容，切莫逾越法律红线。
安全见闻，包含了各种网络安全，网络技术，旨在明白自己的渺小，知识的广博，要时时刻刻保持平等的心，很多分类组合有互相包含也属于正常情况，遇到问题就能够举一反三。

视频地址：burp功能介绍（1）_哔哩哔哩_bilibili

前言

今天我们来学习一下大名鼎鼎的web应用安全测试平台BurpSuite，它在web测试中发挥着重要作用。本文主要介绍它的功能、主要组件、应用场景，看完本文可以对BP有个大概了解了。

一、Burp Suite简介

Burp Suite是一款极为强大且广受欢迎的集成化Web应用安全测试工具，由多个协同运作的模块组成，旨在助力安全从业者、渗透测试人员以及安全爱好者全面剖析目标Web应用的安全性，精准探测各类潜在漏洞，无论是简单的小型网站，还是复杂的大型企业级 Web系统，它都能大显身手。

Burp Suite是一款用于Web应用程序安全测试的集成平台。

二、主要功能组件

Proxy (代理)

它是Burp Suite的核心组件之一。通过配置浏览器或其他客户端使用Burp Suite 的代理服务器，它能够拦截并查看客户端和服务器之间传输的HTTP/S请求和响应。

例如，当你在浏览器中访问一个网站时，请求会先被BurpSuite的代理捕获。这使得安全测试人员可以查看请求中的详细信息，如请求方法(GET、POST等)、URL、请求头(包含如User - Agent、Cookie等重要信息)和请求体(对于POST请求等包含提交的数据)。同时，也能查看服务器返回的响应，包括响应状态码、响应头和响应体。

可以对这些请求和响应进行修改后再转发，这对于测试输入验证、SQL注入、跨站脚本攻击(XSS)等漏洞非常有用。比如，在测试SQL注入时，可以在请求的参数中修改数据，看服务器是否会执行恶意的SQL语句。

界面如下，这里拦截的是一个访问baidu的请求包

Spider(爬虫)

这个组件用于自动发现Web应用程序的内容和功能。它会从一个起始URL开始，像一个真正的搜索引擎爬虫一样，递归地搜索链接、表单等内容。

例如，如果你给它一个网站的首页URL，它会顺着页面中的链接去访问其他页面，并且能够识别表单提交的目标URL,从而发现更多的页面路径。这有助于安全测试人员全面了解应用程序的结构，确保不会遗漏任何可能存在漏洞的页面。可以根据自定义的规则进行爬行，如限制爬行的深度、范围等，以更好地适应不同的测试场景。

界面如下，访问baidu时被动爬虫的结果

Scanner(扫描器)

它能够自动检测Web应用程序中的各种安全漏洞。它会根据内置的漏洞检测规则和技术，对通过代理或蜘蛛发现的目标应用程序进行扫描。

例如，它可以检测常见的漏洞，如SQL注入漏洞、跨站脚本攻击(XSS)漏洞、文件包含漏洞等。在扫描过程中，它会发送一系列经过精心构造的测试请求，然后分析服务器的响应来判断是否存在漏洞。

扫描器会生成详细的扫描报告，指出发现的漏洞的位置、类型和风险等级，帮助安全测试人员快速定位和修复问题。不过，扫描器也不是万能的，有些复杂的漏洞可能需要手动测试来发现。

界面如下，访问baidu时扫描器探测的结果

lntruder (入侵者)

Intruder 是用于执行各种攻击，如暴力破解密码、枚举目录和文件等的工具。它允许安全测试人员通过配置攻击载荷(Payloads)来对目标进行攻击。

例如，在进行密码暴力破解时，可以将用户名作为一个固定参数，密码字段作为攻击载荷的位置。然后选择合适的密码字典作为攻击载荷，Intruder会自动发送一系列请求，尝试不同的密码组合，通过观察服务器的响应来判断是否成功登录。

它还可以用于测试参数的边界值，通过修改参数的值范围来发现潜在的漏洞，比如整数溢出漏洞等。

界面如下，将访问baidu的请求发送到lntruder模块

Repeater (中继器)

主要用于手动修改和重新发送单个请求。安全测试人员可以在Repeater中获取从代理拦截的请求，或者自己手动构建请求。

例如，当发现一个可疑的请求时，可以将其发送到Repeater中，然后对请求中的参数进行修改，如修改一个用户ID参数的值，再次发送请求，观察服务器的不同响应，从而判断该参数是否存在安全风险，如越权访问等问题。

界面如下，将访问baidu的请求发送到Repeater模块

Decoder(解码器)

用于对数据进行编码和解码操作。在Web 应用程序安全测试中，经常会遇到需要对数据进行编码转换的情况，如URL编码、Base64编码等。

例如，当遇到一个经过Base64编码的敏感信息(如用户凭证)在请求或响应中时，可以使用Decoder将其解码，查看原始内容。同时，也可以对自定义的数据进行编码，以模拟一些特殊的攻击场景，如构造经过编码的恶意脚本进行XSS测试。

界面如下，对www.baidu.com进行html编码

Comparer (比较器)

功能:用于比较两个不同的请求、响应或者其他数据之间的差异。这在安全测试中非常有用，例如，当你修改了一个请求参数并重新发送后，可以使用Comparer来查看响应内容与原始响应有哪些不同之处。

应用场景:比如在测试文件上传功能时，比较正常文件上传和恶意文件上传(如包含恶意脚本的文件)后的服务器响应差异，以此来判断是否存在安全漏洞。它可以比较的数据包括HTTP消息头、消息体、XML 数据、JSON数据等多种格式。

界面如下，对比两个不同的请求包，其中不同的内容会高亮显示

Sequencer(序列器)

功能:主要用于分析应用程序会话令牌(Session Tokens)或其他重要数据的随机性和可预测性。它通过收集和分析大量的令牌样本，来评估这些数据是否足够安全。应用场景:例如，对于一个基于会话的Web 应用程序，通过Sequencer来检查会话令牌是否是随机生成的，还是存在可预测的模式。如果令牌是可预测的，那么攻击者就有可能劫持其他用户的会话，从而获取非法访问权限。它可以帮助发现如会话固定、令牌预测等安全隐患。

界面如下，对百度的请求包中的cookie值进行测试