Burp Suite安装和使用方法

已于 2022-09-05 16:41:40 修改
阅读量5.8k 收藏 36
点赞数 8
文章标签： 网络安全
于 2022-09-02 22:20:22 首次发布
原文链接：https://blog.csdn.net/weixin_44657888/article/details/124673968
版权

写这篇的目的是因为有太多文档都是一个意思，但是表述的不清楚，特作此归档整理，本文没有过多赘述安装方法，重在配置和使用，不过看完前几行照着操作，安装就能完成了

启动Burp Suite

下载地址：Burp Suite
安装方法：其实它不需要安装，只要你电脑已经安装好jdk，且下载了Burp Suite的jar包即可使用！

Burp Suite是一个无需安装软件,下载完成后,直接从命令行启用即可。但Burp Suite是用
Java语言开发的,运行时依赖于JRE,需要提前Java可运行环境
配置完Java环境之后,首先验证
Java配置是否正确,如果输入java -version 出现下图的结果,证明配置正确且已完成

然后打开cmd，执行
java -jar /your_burpsuite_path/burpSuite.jar即可启动Burp Suite
说明 ：your_burpsuite_path为你Burp Suite所在路径,
说明：burpSuite.jar文件名必须跟你下载的

将Burp Suite的jar放入class_path目录下,直接执行java -jar burpSuite.jar也可以启动。

补充：如何设置JVM内存 大小
如果Java可运行环境配置正确的话,当你双击burpSuite.jar即可启动软件,这时,Burp Suite
自己会自动分配最大的可用内存,具体实际分配了多少内存,默认一般为64M。当我们在渗
透测试过程,如果有成千上万个请求通过Burp Suite,这时就可能会导致Burp Suite因内存不
足而崩溃,从而会丢失渗透测试过程中的相关数据,这是我们不希望看到的。
因此,当我们
启动Burp Suite时,通常会指定它使用的内存大小。 一般来说,我们通常会分配2G的内存供
Burp Suite使用,如果你的电脑内存足够,可以分配4G;如果你的电脑内存足够小,你也可
以分配128M。当你给Burp Suite分配足够多的内存时,它能做的工作也会更多。指定Burp
Suite占用内存大小的具体配置方法是在启动脚本里添加如下命令行参数: 假设启动脚本的名称为burp_suite_start.bat,则该bat脚本的内容为
java -jar -Xmx2048M /your_burpsuite_path/burpsuite.jar
其中参数-Xmx指定JVM可用的最大内存,单位可以是M,也可以是G,如果是G为单位的话，修改为-Xmx2G
界面如图
在这里插入图片描述

配置

Burp Suite代理工具是以拦截代理的方式,拦截所有通过代理的网络流量,如客户端的请求数据、服务器端的返回信息等。Burp Suite主要拦截http和https协议的流量,通过拦截,Burp Suite以中间人的方式,可以对客户端请求数据、服务端返回做各种处理,以达到安全评估测试的目的。在日常工作中,我们最常用的web客户端就是的web浏览器,我们可以通过代理的设置,做到对web浏览器的流量拦截,并对经过Burp Suite代理的流量数据进行处理。

以谷歌浏览器为例

第一步和第二步是两种方法，但是都是用于设置代理，如果可以使用扩展程序下载插件，建议使用第二种方法配置

1. 手动本地设置

在Chrome浏览器中，打开设置chrome://settings/——>搜索代理——>打开计算机的代理设置——>打开使用代理服务器——>设置地址和端口——>保存，注意与上面BurpSuite设置保持一致！
在这里插入图片描述
在这里插入图片描述
注意设置的IP和端口号要和 上面的Burp Suite界面图上的信息一致！！！！
在这里插入图片描述

2. 推荐使用扩展插件

插件从谷歌浏览器的扩展程序商店下载即可，本文提供了下载链接
在这里插入图片描述
打开扩展的“选项”进行配置
在这里插入图片描述
注意设置的IP和端口号要和 上面的Burp Suite界面图上的信息一致！！！！
在这里插入图片描述
设置完成后，如果你设置（默认）所有网站都可以使用该扩展程序，那么他每次都会拦截请求，如果你设置了只是在特定网站使用或者单击时使用插件，那么请注意要记得点击插件，该网页才会被拦截。

3. Burp Suite CA证书下载及导入

使用Burp Suite做安全测试时，要抓取HTTPS的包的话，是需要有Burp Suite的CA证书的，否则浏览器不支持。

常见的报错信息就是：输入任何网址都会提示“不是私密的连接”

3.1 Burp Suite下载

Burp Suite是自带CA证书的，我总结了一下有两种方法把CA证书下载到本地
（1）通过浏览器访问https://burp，下载证书。
点右边的CA Certifcate即可下载
在这里插入图片描述
不过需要注意的是，必须让浏览器开了127.0.0.1:8080代理才可以，也就是要让Burp Suite能抓到浏览器的http包的情况下，才能访问到 https://burp。（参考前面的第一步设置 或者 安装第二步的插件，同时开启该页面可以使用扩展程序）

3.2 导入证书到浏览器

第一步：找到右上角的三个小点，进入设置。
第二步：在搜索栏搜索“证书”
第三步：找到管理证书点进去
在这里插入图片描述
进去之后
第一步：找到受信任的根证书颁发机构
第二步：点击导入
第三步：点击下一页
在这里插入图片描述
进入下一页后
第一步：点击浏览。
第二步：找到右下角，选择所有文件。
第三步：找到证书，点击证书。
在这里插入图片描述
注意！！下一步导入时需要导入到“受信任的根证书颁发机构”，然后一路确定即可
在这里插入图片描述

3.3 导入证书到BP

在这里插入图片描述

在这里插入图片描述
然后选择证书导入进去即可。

Burp Suite 使用

  1. 确认JRE已经安装好,Burp Suite可以启动并正常运行,且已经完成浏览器的代理
    服务器配置。
  2. 打开Proxy功能中的Intercept选项卡,确认拦截功能为“Interception is on”状态,如果显示
    为“Intercept is off”则点击它,打开拦截功能。
    在这里插入图片描述
  3. 打开浏览器,输入你需要访问的URL(以http://baike.baidu.com/为例)并回车,这时你
    将会看到数据流量经过Burp Proxy并暂停,直到你点击【Forward】,才会继续传输下
    去。如果你点击了【Drop】,则这次通过的数据将会被丢失,不再继续处理。
    在这里插入图片描述

上面四个按键的功能如下：
Forward的功能是当你查看过消息或者重新编辑过消息之后,点击此按钮,将发送消息至服务器端。
Drop的功能是你想丢失当前拦截的消息,不再forward到服务器端。 Interception is on表示拦截功能打开,拦截所有通过Burp Proxy的请求数据;
Interception is off表示拦截功能关闭,不再拦截通过Burp Proxy的所有请求数据。
Action的功能是除了将当前请求的消息传递到Spider、Scanner、Repeater、Intruder、Sequencer、Decoder、Comparer组件外,还可以做一些请求消息的修
改,如改变GET或者POST请求方式、改变请求body的编码,同时也可以改变请求消息的拦截设置,如不再拦截此主机的消息、不再拦截此IP地址的消息、不再拦截此种文件类型的消息、不再拦截此目录的消息,也可以指定针对此消息拦截它的服务器端返回消息。

  1. 拦截的客户端和服务器交互之后,我们可以在Burp Suite的消息分析选项卡
    中查看这次请求的实体内容、消息头、请求参数等信息。如下图在这里插入图片描述
  • Raw 这是视图主要显示web请求的raw格式,包含请求地址、http协议版本、主机头、浏览器信息、Accept可接受的内容类型、字符集、编码方式、cookie等。你可以通过手工修改这些信息,对服务器端进行渗透测试。
  • params 这个视图主要显示客户端请求的参数信息、包括GET或者POST请求的参数、
    Cookie参数。渗透人员可以通过修改这些请求参数来完成对服务器端的渗透测试。
  • headers 这个视图显示的信息和Raw的信息类似,只不过在这个视图中,展示得更直观、
    友好。
  • Hex 这个视图显示Raw的二进制内容,你可以通过hex编辑器对请求的内容进行修改。

默认情况下,Burp Proxy只拦截请求的消息,普通文件请求如css、js、图片是不会被拦截
的,你可以修改默认的拦截选项来拦截这些静态文件,当然,你也可以通过修改拦截的作用
域、参数或者服务器端返回的关键字来控制Burp Proxy的消息拦截,

历史记录

Burp Proxy的历史记录由HTTP历史和WebSockets历史两个部分组成。

  • 所有流经Burp Proxy的消息,都会在http history记录下来,我们可以通过历史选项卡,查看传输的数据内容,对交互的数据进行测试和验证。同时,对于拦截到的消息和历史消息,都可以通过右击弹出菜单,发送到Burp的其他组件,如Spider、Scanner、Repeater、Intruder、Sequencer、Decoder、Comparer、Extender,进行进一步的测试
    在这里插入图片描述当我们在做产品系统的安全评估过程中,会在HTTP历史中保存了大量的日志记录,为了更友好的消息管理,Burp提供了筛选过滤器功能。当我们点击HTTP历史标签下发的Filter时,将弹出筛选过滤器界面。
    在这里插入图片描述
  • WebSockets历史选项的功能,从界面上我们可以看出,WebSockets历史所提供的功能和选项是HTTP历史的一个子集,只是因为采用的通信方式的不同,而被独立出来成为一个专门的视图。其功能的使用方式与HTTP历史雷同,此处就不在赘述

关于options一节

请参考：BurpSuite使用大全（详解）

汉化BurpSuite

相信来到这儿的各位手里也不缺汉化补丁吧，链接我就懒得发了，没有的评论我在给吧。
在这里插入图片描述
这个是我的文件，以我的为例，汉化burp其实可以理解为用java来调动补丁
命令如下：
java -Dfile.encoding=utf-8 -javaagent:BurpSuiteCn.jar -Xbootclasspath/p:burp-loader-keygen.jar -jar burpsuite_pro_v1.7.30.jar

命令是以我的burp为模板的，
首先 -Dfile.encoding=utf-8 是定义编码，防止打开软件后乱码现象；
其次 -javaagent:BurpSuiteCn.jar是带动汉化补丁运行，学过java的朋友都知道，javaagent作用我就不多说了，在这儿的作用是将某个jar文件加入到classpath里供程序去加载，大概就是这个意思了。
后面的那一段来源于启动burp-loader-keygen.jar时，运行的语句
在这里插入图片描述
总结一下就是：
java -Dfile.encoding=utf-8（定义编码） -javaagent:BurpSuiteCn.jar（汉化补丁的名字） -Xbootclasspath/p:burploader.jar -jar（p:之后是加载器名） burpsuite_pro_v2.0.11beta.jar（burp详细版本及文件名）

参考

感谢：BurpSuite使用大全（详解）
感谢 【解决】“burpsuite”工具启用代理时出现【您的连接不是私密连接】
感谢 渗透神器burpsuite的汉化

小钊_
关注
  • 8
    点赞
  • 踩
  • 36
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
BurpSuite安装和基础使用教程(已破解)
m0_74914256的博客
02-23 6847
Burp Suite 是用于攻击web 应用程序的集成平台。它包含了许多Burp工具，这些不同的burp工具通过协同工作，有效的分享信息，支持以某种工具中的信息为基础供另一种工具使用的方式发起攻击。 它主要用来做安全性渗透测试，可以实现拦截请求、Burp Spider爬虫、漏洞扫描（付费）等类似Fiddler和Postman但比其更强大的功能。那么我们开始安装教程
burpsuite安装教程
04-08
burpsuite安装教程 首先，从官网下载您需要的Burp Suite版本。 安装Java Development Kit（JDK）。Burp Suite是用Java编写的，因此需要预先安装Java环境才能运行。如果您已经安装了JDK，则可以跳过此步骤。 解压缩...
网络安全-02-BurpSuite工具详细安装教程
✨ 欢迎来到【Seal ^_^ 的CSDN博客】！这里是我记录技术心得、分享经验的地方。✨
05-29 1万+
BurpSuite是一款对web应用进行安全测试的集成平台，基于Java语言开发（jar形式运行），运行需要Jdk环境。
Burp Suite汉化
qq_44232452的博客
06-15 3753
主要思路是借用成熟的汉化包但是因为网上很多的都不是最新的版本，汉化和激活不兼容导致只能汉化而不能激活，这种情况就是更换成最新的注册机，而这样产生一个问题就是网上有很多java版本的17以前的导致很多的命令都使用不了，出现这种问题，会使burpsuite不能识别激活码。今天突然翻看教程一个大佬的教程引起了注意，还是他在文章中点醒了我，有很多命令都不适用了，因此看到那个注册机上的run按钮，把它的命令复制下来。首先是激活问题当时因为不想使用vb，直接使用这条命令创建了一个bat文件。
BurpSuite详细安装配置教程
最新发布
qq_52712762的博客
05-23 2248
BurpSuite(简称Burp)是基于Java开发的Web安全领域的集成工具，被称为信息安全界的瑞士军刀，它包含Proxy、Intruder、Repeater、Decoder、Comparer等多个模块，模块间通过共享相互传递HTTP/HTTPS消息数据包。BurpSuite共有三个版本:社区版(CommunityEdition)、专业版(Professional Edition)和企业版(Enterprise Edition)，社区版免费且只有最基础的功能，而专业版在。
【2023最新版】超详细Burp Suite安装保姆级教程，Burp Suite的基本介绍及使用，收藏这一篇就够了
2201_75735270的博客
10-31 2813
【2023最新版】超详细Burp Suite安装保姆级教程，Burp Suite的基本介绍及使用，收藏这一篇就够了
Burp Suite抓包工具安装、运行环境配置配置
爱发梦的小赤佬的博客
10-21 3444
Burp Suite抓包工具的安装与配置
Burpsuite环境Jython安装方法1
08-03
**Burp Suite 环境 Jython 安装详解** Burp Suite 是一款广泛使用的网络安全测试工具，主要用于 web 应用程序的安全性测试。而 Jython 是 Python 语言的一个实现，它运行在 Java 虚拟机（JVM）上，使得 Python 代码...
burpsuite安装详细教程
11-12
burpsuite安装详细教程
BurpSuite使用介绍（一）
02-21
BurpSuite是用于攻击web应用程序的集成平台。它包含了许多工具，并为这些工具设计了许多接口，以促进加快攻击应用程序的过程。所有的工具都共享一个能处理并显示HTTP消息，持久性，认证，代理，日志，警报的一个强大...
Windows 上Burp Suite的安装与使用
weixin_45214325的博客
03-01 2354
已请求的项目显示为黑色，其他项目显示为灰色。选择此选项后，当项目重新打开时，Spider 和 Scanner 工具将自动暂停，以避免向现有已配置的目标发送任何无意的请求。完成上述工作后，进入Proxy–Intercept页面Intercept is off /on按钮是开启或关闭拦截功能，开启拦截功能后即可拦截请求信息，修改其中参数，然后点击Forward（放行）便可将修改过参数的请求发送至目标服务器。使用项目保存的选项 - 此选项在重新打开现有项目时可用，并将使用保存在工程文件中的配置打开项目。
Burpsuite介绍及2022.8.2版本超详细安装教程（图文版）
weixin_44716769的博客
08-26 2万+
Burpsuite介绍及2022.8.2版本安装 Burpsuite是什么？ Burpsuite环境配置及安装 JDK选择及配置 Burpsuite下载安装 Burpsuite快捷启动方式选择 BAT批量处理文件启动（快捷） CSharp编程启动（快捷） CSharp编程启动（推荐） 高版本JDK与低版本JDK如何共存.........
BurpSuite安装教程
m0_59205875的博客
02-22 2551
文本将介绍BurpSuite的功能描述、安装等。Burp Suite 是一个由 PortSwigger Web Security 开发的集成的平台，专为网络安全专家提供用于执行安全测试的工具。它广泛地用于渗透测试（俗称“渗透测试”）和网络应用程序安全评估。这个工具集包括了许多不同的工具，每个工具都有其特定的用途，从而形成了一个强大的测试套件。
burpsuite安装与使用教程(含JDK配置环境)
剁椒鱼头没剁椒的博客
12-06 9667
  这里我准备了专业版的，社区版没有扫描功能，而专业版是有扫描功能的。   JDK：下载链接 提取码：spn1   burpsuite：下载链接 提取码：ebwd  这里需要说明一下我提供的是17版本的，而我安装的是19的，不影响一样的操作，17是能用的。这里我打开JDK一点小慢，可能需要稍等那么，实体机不太清楚，如果也迟迟不出现，那么就稍等一下。   出来界面后，我建议直接一直默认下一步安装，弹出什么都下一步，如果需要调整文件夹的话，那么一定要全英文的，不能含有中文，否则就会出现安装失败的情况，这种就需要
Burpsuite 史上最详细 安装教程
weixin_54161921的博客
06-28 1万+
以Windows 为例子进行 安装 因为BP是使用 Java 语言开发的 所以在安装之前我们要先下载一个Java的插件才可以运行BP 下载地址：链接：https://pan.baidu.com/s/1XhLYVAfmIRWfamRBgl_aYQ 提取码：wihx 接下来双击运行程序 开始安装 点击下一步 点击下一步 这里开始安装 这里会弹窗 更改文件保存位置 在C盘下新建文件夹 jre 点击下一步 接下来耐心等候 就可以了 安装完成的弹窗 接下...
BurpSuite全网最详细安装教程
qq_59611876的博客
12-18 3794
零基础安装burpsuite！！
Burpsuite2021安装和基本使用
baidu_41553551的博客
04-03 3589
1、解压文件 2、修改burpsuite.bat文件 原先 修改后（注意--前面有个空格） 3、打开burpsuite.bat文件点击我接受 4、
burpsuite.jar文件双击打不开解决方法
热门推荐
Toufahaizai的博客
03-18 3万+
我这几天下载了一个burpsuite，它需要java环境（环境配置自行百度），配置完成之后我发现burpsuite.jar双击不能打开 但是放到命令行中就可以打开 可是问题又来了：想要破解burpsuite，必须点注册机里的Run按钮调出burpsuite，也就是说，用命令打开burpsuite（也就是图一的第二个jar文件），那么注册机生成的license是不起作用的。 所以说问题还是出在不能...
burpsuite插件安装教程
W小哥
12-21 2万+
一、reCAPTCHA 插件安装教程 我用的是burpsuite2.1.06汉化版，不过每个版本都大差不差，方法都是一样的 第一步：打开burpsuite 第二步：选择插件扩展 文件选择你的插件 reCAPTCHA-v0.9.jar（这个插件是识别图形码的插件，百度下载即可） 在状态栏最后将会多出一个插件，成功添加。 二、利用reCAPTCHA插件识别状态码爆破用户名、密码教程 ...
burpsuite安装与使用
08-30
Burp Suite 是一种常用的网络安全测试工具，它可以用于发现和利用应用程序中的漏洞。下面是关于 Burp Suite 安装和使用的一些简要说明： 1. 安装：首先，你可以从官方网站（https://portswigger.net/burp）下载 Burp Suite 的最新版本。根据你的操作系统选择合适的版本（有免费和付费版可供选择）并进行下载。 2. 启动：下载完成后，解压缩文件并运行 Burp Suite。对于 Windows 用户，可以直接运行 `burp.exe` 文件。对于 Mac 或 Linux 用户，需要在终端中导航到解压缩的目录并运行 `./burp` 命令。 3. 配置代理：Burp Suite 默认监听本地的 127.0.0.1:8080 端口作为其代理端口。你可以在浏览器的代理设置中将其配置为 HTTP 代理，以便 Burp Suite 可以拦截和修改请求。 4. 导入证书：为了能够拦截 HTTPS 流量并进行分析，你需要在浏览器中导入 Burp Suite 提供的 CA 证书。在 Burp Suite 界面的 Proxy 选项卡下，点击 "Import / Export CA Certificate" 按钮，然后按照提示导入证书。 5. 拦截和修改请求：一旦配置完成，你可以在 Burp Suite 中进行拦截和修改请求。确保 Proxy 选项卡下的 "Intercept" 开关是打开状态，然后发送请求。Burp Suite 将会显示拦截的请求和响应，你可以对其进行修改、重放、拦截或者转发。 这只是一个简要的介绍，Burp Suite 是一个功能强大且灵活的工具，你可以根据实际需求深入学习和使用。记得合法使用这个工具，遵守法律规定，不要用于非法目的。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值