渗透测试和CTF WEB之Burpsuite使用小技巧

渗透测试和CTF WEB之Burpsuite使用小技巧

Brupsuite，基于Java开发，集成了常见Web漏洞的模块

Proxy模块

如果仅在本机使用，将Bind to address设为Loopback only；如果要让局域网里的设备使用代理，则可以设为All interface

Repeater模块

在需要手工测试HTTP中的Cookie或User-Agent等浏览器不可修改的字段是否存在注入点，以及需要发现复杂的POST数据包中是否存在SSRF漏洞时使用

Intruder模块

Intruder模块包含Sniper，Battering ram， Pitchfork，Cluster bomb 4种类型的攻击方式，可以方便的进行fuzz测试

在Intruder模块当中，有4个标签页：Target，Position，Payload，Options

Position标签页用户设置攻击位置和攻击方法

手动选择：如果burpsuite已经自动帮助进行了选择，可以点击clear§清除，重新选择之后，add§

四种攻击方式

（1）Sniper类型：
只需要一个Payload Set，如果有两个攻击位置，则在两个变量的位置逐一替换Payload。如果有2个payload，则会有4个请求

（2）Battering ram类型：
只需要一个Payload Set，如果有两个攻击位置，则两个位置同时替换相同的Payload。如果有2个payload，则会有2个请求

（3）Pitchfork类型：
需要两个Payload Set，如果有两个攻击位置，则两个变量的位置和2个Payload是一一对应的关系，可以用来进行撞库攻击，如用已知的账号密码去测试其他网站，爆破时会发送两个请求

（4）Cluster bomb类型：
需要两个Payload Set，每个位置的payload将在Payload Set中进行排列组合，2x2=4个请求

Payload标签页

Payload Type：
Runtime file：用于从文件中加载payload
Character blocks：用于设置长度爆破，fuzz超长的POST变量，有时候可以绕过WAF

Compare模块

在某些诸如bool盲注的正确和错误的回显题中，有时候两次数据包之间的差别很小，比较难发现，这时可以使用比较模块进行比较来发现差异

Project Option模块

将域名（也可以是不存在的域名）与IP进行绑定