2022burpsuite最新使用方法.

一.burpsuite介绍

1.Burp Suite是一个集成化的渗透测试工具，它集合了多种渗透测试组件，使我们自动化地或手工地能更好的完成对web应用的渗透测试和攻击。在渗透测试中，我们使用Burp Suite将使得测试工作变得更加容易和方便，即使在不需要娴熟的技巧的情况下，只有我们熟悉Burp Suite的使用，也使得渗透测试工作变得轻松和高效。

Burp Suite是由Java语言编写而成，而Java自身的跨平台性，使得软件的学习和使用更加方便。Burp Suite不像其他的自动化测试工具，它需要你手工的去配置一些参数，触发一些自动化流程，然后它才会开始工作。

二.burpsuite安装

1.在网上搜索Burp Suite - Application Security Testing Software - PortSwigger

 三.burpsuite使用

1.使用

抓取http和https的数据包------可以对此类数据包进行重放,拦截,篡改.

2.常用模块和功能

1.proxy[代理]

2.repeater [重放]

3.intruder [攻击]

4.Decoder[编码工具]

5.简单的工作的原理: 客户端向服务端请求服务端数据,发送请求request包,服务端接收到做一个响应,给一个response包,burpsuite相当于架设在客户端和服务端中间,发送和接收都会经过burpsuite.

3.默认代理设置

[1] 127.0.0.1 (本地) localhost,可以使用局域网地址,但是局域网地址会随着网络切换会改变

[2] 8080(本机监听端口),,前提,没有比其他服务占用

[3]抓取目标网站数据包--一般先通过浏览器访问该网站

[4]2022burpsuite 自带浏览器,(谷歌内核),打开自带浏览器,开启代理功能就能抓取到数据包

4.具体操作步骤

一.代理模块proxy

1.打开下载好的burpsuite

 2.点击start burp

 3.点击代理proxy,然后点击options

 4.配置代理,BurpSuite默认使用8080端口作为代理,127.0.0.1为本地

 5.打开burpsuite内置浏览器

 6.随便搜索一个内容,开启intercept,然后再次在浏览器点击搜索起到发包的作用,这是数据包就被拦截下来

当我们拦截数据包后，这里有3个选项

pretty: pretty模式可以格式化JSON或XML响应，以便更容易查看。没有人想滚动一个最小的单行JSON响应寻找那个难以捉摸的字符串！

Raw : 这是视图主要显示web请求的raw格式，包含请求地址、http协议版本、主机头、浏览器信息、Accept可接受的内容类型、字符集、编码方式、cookie等。你可以通过手工修改这些信息，对服务器端进行渗透测试
Hex : 这个视图显示Raw的二进制内容，你可以通过hex编辑器对请求的内容进行修改。

7.Burp Proxy的拦截功能主要由Intercept选项卡中的Forward、Drop、Interception is on/off、Action、构成，它们的功能分别是： 

Forward的功能是当你查看过消息或者重新编辑过消息之后，点击此按钮，将发送消息至服务器端。 

Drop的功能是你想丢失当前拦截的消息，不再forward到服务器端。 

Interception is on表示拦截功能打开，拦截所有通过Burp Proxy的请求数据；

Interception is off表示拦截功能关闭，不再拦截通过Burp Proxy的所有请求数据。

 Action的功能是除了将当前请求的消息传递到Spider、Scanner、Repeater、Intruder、Sequencer、Decoder、Comparer组件外，还可以做一些请求消息的修改，如改变GET或者POST请求方式、改变请求body的编码，同时也可以改变请求消息的拦截设置，如不再拦截此主机的消息、不再拦截此IP地址的消息、不再拦截此种文件类型的消息、不再拦截此目录的消息，也可以指定针对此消息拦截它的服务器端返回消息.