Web安全基础篇（八 - 1）

Burpsuite安装与使用
1.认识burp：
（1）什么是burp？
Burp Suite 是用于攻击web 应用程序的集成平台，包含了许多工具
（2）burp可以做什么？
主要是用来抓包，改包，放包的一个工具

2.安装burp：
（1）首先我们来下载安装jre（因为burp是java开发的）

2.打开burp：
（1）这里会遇到闪退的问题：
解决方案：
首先将burp创建快捷方式，然后打开属性，在目标里输入：java -jar BurpUnlimited.jar

成功打开

（2）设置burp监听端口：
在Proxy——>Options里面设置本地IP与端口和浏览器均为127.0.0.1：8080即可

3.安装设置google插件
（1）为了减少人工操作的重复性，我们可以下载google或者火狐插件：FoxyProxy
（2）增加本地监听端口：

（3）然后点击我们刚才添加的那个选项即可

4.安装证书用来抓取https：
因为burp默认是不抓取https协议数据包，这里我们要添加证书：
（1）开启burp与浏览器代理，在浏览器中我们输入127.0.0.1：8080，如下图：点击CA Certificate下载证书

（2）直接打开证书，一路下一步，到这里选择将所有证书放入下列存储——>受信任的根证书颁发机构。

最后安全性警告选择是即可

（3）测试抓包百度：
开启浏览器以及burp抓包百度，成功抓取

5.burp简介：
（1）Proxy模块

（2） 重放模块

（3）爆破模块

（4）过滤抓包中的无用网址：
假如在抓包的过程中有一些干扰的网址，我们不想抓取它发送的数据，如下操作即可

之后在Option里面即可看到刚才我们屏蔽的域名

（5）UA的定义
定义：UA就是访问者的身份标识，它记录了你使用什么浏览器，什么电脑来访问了当前的网址
User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.114
（6）UA 更改插件：安装插件chrome UA sprof即可更改：

这里我们改为Iphone 4测试：

UA显示为Iphone 4，更改成功。