使用Burp Suite的Intruder模块发现敏感目录

目录

一、前言

二、 Intruder（暴力破解模块）

三、 实验环境准备

3.1 本次实验，老师靶场的IP是192.168.22.129，如下图示，同学们要看清楚自己靶场的IP是多少。

3.2 另外，在“整个本课程中”，老师靶场的“网络适配器”是设置为NAT模式，如下图示：

3.3 打开Kali linux中的Burp Suite Community并配置Burp Suite的Chromium browser英[ˈkrəʊmiəm]n.铬

3.4 WackoPicko.com已经打开

四、 实验对象

五、 实验手段

六、 开始实验

5.1 在2.3视频的最后，我们使用BP自带的Chromium浏览器打开了网站WackoPicko.com，此时Burp Suite中记录了相关的HTTP历史记录，如下图示：

5.2 在Proxy模块中，找到对WackoPicko.com根路径的请求包，右键选中它，再选择Send to intruder，如下图示：

5.3 在Positions模块中，点击clear§

5.4 在URL的最后一个/后面随便添加一个字段，例如字母a，然后选中它，再单击Add§按钮，字母a的前后就会自动加上§，那么这样就会让这个选中的字符成为一个修改点，如下图示：

5.5 切换到Payloads选项卡，载入攻击载荷

5.6 在Payloas选项卡中载入small.txt

5.7 Start attack

5.8 根据status排序

七、 相关知识与技能

---

一、前言

         Burp Intruder是一个强大的工具，用于自动对Web应用程序自定义的攻击，Burp Intruder 是高度可配置的，并被用来在广范围内进行自动化攻击。你可以使用 Burp Intruder 方便地执行许多任务，包括枚举标识符，获取有用数据，漏洞模糊测试。合适的攻击类型取决于应用程序的情况，可能包括：缺陷测试：SQL 注入，跨站点脚本，缓冲区溢出，路径遍历；暴力攻击认证系统；枚举；操纵参数；拖出隐藏的内容和功能；会话令牌测序和会话劫持；数据挖掘；并发攻击；应用层的拒绝服务式攻击。

二、 Intruder（暴力破解模块）

intruder英[ɪnˈtru:də(r)]n.闯入者，侵入者; 干扰者，妨碍者; 爱管闲事的人; [航]轰炸机

Interder是一个强大的模块，可以用于自动对web应用程序进行无差别、自定义攻击，它可以用来自动执行您的测试过程中可能出现的所有类型的任务。例如目录爆破，注入，密码爆破等。

http://<iframe src="//player.bilibili.com/player.html?aid=784396454&bvid=BV1W14y1D7mV&cid=1154486086&page=1" scrolling="no" border="0" frameborder="no" framespacing="0" allowfullscreen="true"> </iframe>​​​​​​​​​​​​​​

三、 实验环境准备

3.1 本次实验，老师靶场的IP是192.168.22.129，如下图示，同学们要看清楚自己靶场的IP是多少。

3.2 另外，在“整个本课程中”，老师靶场的“网络适配器”是设置为NAT模式，如下图示：

3.3 打开Kali linux中的Burp Suite Community并配置Burp Suite的Chromium browser英[ˈkrəʊmiəm]n.铬

默认情况下在kali linux中是无法打开Chromium browser，会出现如下提示：

3.4 WackoPicko.com已经打开

WackoPicko.com已经打开，BurpSuite Community也已经打开，如下图示：