网络安全工具-BurpSuite

安装&简介

BurpSuite是一款集成自动化渗透测试工具,可以协助我们进行Web应用程序的攻击.

BurpSuite是由Java编写,运行时依赖Java环境

BurpSuite主要拦截HTTP,HTTPS协议的流量,通过拦截,以中间人的方式对客户端的请求,服务端的返回信息,做各种处理,以达到安全测试目的

使用BurpSuite拦截请求时,需要设置浏览器代理(127.0.0.1:8080)

BurpSuite基本模块

Proxy

Proxy是BurpSuite的核心模块,通过代理模式,可以让我们拦截,查看,修改所有在客户端与服务端之间传输的数据

1. Proxy的拦截功能主要由Intercept总的以下几个模块构成

2. Forward 表示将拦截的数据包或修改后的数据包发送至服务器

3. Drop 丢弃当前拦截的数据包

4. ntercept on/off 开启/关闭拦截功能

5. Action
   可以将数据包进一步发送至其他功能组件进一步测试,同时也含改变数据包请求方式及其body的编码功能

在BurpSuite拦截的客户端和服务器的交互之后,可以查看此次请求的实体内容,消息头等信息,Burp包含四种消息类型显示数据包

1. Raw
   主要显示Web请求的raw格式,以纯文本的形式显示数据包,包含请求地址,HTTP协议版本,主机头,浏览器信息,Acccept可接受的内容类型,字符集,编码方式,cookie等,可以通过手动修改这些信息,对服务端进行渗透测试

2. Params
   主要显示客户端请求的参数信息,包括GET或POST请求参数,cookie参数,可以通过修改这些信息完成对服务器的渗透测试

3. Headers 显示的是数据包中的头信息,以名称,值的形式显示数据包

4. Hex
   对应的Raw中信息的二进制内容,可以通过Hex编辑器对请求的内容及in性修改,在进行00截断时非常好用

Spider

Spider(蜘蛛爬行功能)可以帮助我们了解系统的结构,其中,Spider爬取到的内容,将在Target中展示

Decoder

Decoder是BurpSuite中自带的编码解码及散列转换工具,能对原始数据进行各种编码格式和散列转换

编码解码支持:

Hash散列支持:

Burpsuite 高级用法

Scanner(漏洞扫描)

使用Scanner模块常用有两个方法

1. 在Target模块中,选定目标URL,右键”Actively scan this host”

1. 在Proxy下的HTTP history中,右键”Do an active scan ”

1. 扫描完成后,可以右键Report issus 导出漏洞报告,然后保存为HTML或XML格式

1. 主动扫描和被动扫描

   1. 主动扫描会向应用发送新的请求并通过Payload验证漏洞,这种模式会产生大量请求和应答数据,直接影响服务端性能,通常用于非生产活动

主动扫描适用于以下两类漏洞

• 客户端漏洞:如XSS,HTTP头注入,操作重定向

• 服务端漏洞:如SQL注入,命令行注入,文件遍历

  1. 被动扫描不会重新发送新的请求,只是对已经存在的请求和应答进行分析,对服务端来说,比较安全,适用于生产环境

被动扫描适合扫描以下漏洞

• 提交密码为明文

• 不安全的cookie属性(如缺少HttpOnly 和安全标志)

• Cookie的范围缺失

• 跨域脚本包含和站点引用泄露

• 表单自动填充(尤其是密码)

• SSL保护的内容缓存

• 目录列表

• 提交密码后应答延迟

• Session令牌的不安全传输

• 敏感信息泄露(如内部IP,电子邮件地址等)

• 不安全的ViewState的配置

• 错误或不规范的Content-Type指令

Intruder

Intruder是一个定制的高度可配置工具,可以对Web应用程序进行自动化攻击(如通过标识符枚举用户名,ID和账号密码.模糊测试.SQL注入.跨站.目录遍历等)

工作原理:在原始请求数据的基础上通过修改各种请求参数,获取不同的请求应答,在每次请求中,Intruder通常会携带一个或多个Payload,在不同位置进行攻击重放,通过应答数据对比分析获得需要的特征数据

应用场景:

• 标识符枚举
  Web应用程序经常使用标识符引用用户,账户,资产等数据信息(如用户名,文件ID和账号密码)

• 提取有用的数据
  在某些场景下,不是简单地识别有效标识符,而是通过简单标识符提取其他数据(如通过用户的个人空间ID获取所有用户在其个人空间的名字和年龄)

• 模糊测试
  很多输入型漏洞(SQL注入,跨站脚本,文件路径遍历)可以通过请求参数提交测试字符串,并分析错误消息和其他异常情况,来对应用程序进行检测,受限于应用程序的大小和复杂性,手动执行这个测试是一个耗时繁琐的过程,因此可以设置Payload,通过BurpSuite
  Intruder自动化对Web应用进行模糊测试

1. 首先需要清除”$”标记,然后在进行猜解的字段处加上”$”

1. Payload类型:

• Sniper
  使用单一的payload组,针对每个位置设置payload,这种攻击类型适用于对常见漏洞中的请求参数单独进行模糊测试,攻击中的请求总数应该是position数量和payload的乘积

• Battering ram
  使用单一的payload组,它会重复payload并一次性把所有相同payload放入指定位置,这种攻击适用于需要在请求中把相同的输入放到多个位置的情景,请求中攻击总数是payload组中payload总数

• Pitchfork
  使用多个payload组,攻击会同步迭代所有payload组,把payload放入每个定义的位置,这种攻击类型适合在不同位置需要插入不同但相似输入的情况,请求数量应该是最小的payload组中payload数量

• Cluster boml
  使用多个payload组,每个定义的位置中有不同的payload组,攻击会迭代每个payload组,每种payload组合都会被测试一边,是这种攻击适合在位置中,需要不同且不相关或者未知输入攻击的情景,攻击请求的总数是各payload组中payload乘积数量

Repeater

用于手动修改,补发个别HTTP请求,并分析他们的响应工具

Repeater分析选项有四种;

• Raw
  显示纯文本格式的消息.在文本面板的底部,有一个搜索和加亮功能,可以用来快速定位需要寻找的字符串,如出错消息.利用搜索栏左边的弹出项,能控制状况的灵敏度,以及是否使用简单文本或十六进制进行搜索

• Params
  对于包含参数(URL查询字符串,cookie头或消息体)的请求,Params选项会把这些参数显示为
  名字/值 的格式,这样就可以简单的对他们进行查看和修改了

• Headers 将以 名字/值 的格式显示HTTP的消息头,并以原始格式显示消息体

• Hex 允许直接编辑有原始二进制数据组成打的消息

Comprer

提供一个可视化差异对比功能,来分析两次数据之间的区别,使用的场合有

• 枚举用户名的过程中,对比分析登陆成功和失败时,服务端反馈结果的区别

• 使用Intruder进行攻击时,对于不同的服务端响应,可以很快分析出两次响应的区别

• 进行SQL注入的盲注测试时,比较两次响应消息的差别,判断响应结果与注入条件的关联关系

Sequencer

是一种用于分析数据样本随机性质量的工具,可以用它测试应用程序的会话令牌,密码重置令牌是否可预测等场景,通过Sequencer的数据样本分析,能更好的降低这些关键数据被伪造的风险

Sequencer主要由三个模块组成:

• 信息截取(Live Capture)

• 手动加载(Manual load)

• 选项分析(Analusis Options)