【网络安全之Web系列一】常用工具安装及使用之Burp Suite

最新推荐文章于 2024-09-23 20:04:18 发布

圆觉

最新推荐文章于 2024-09-23 20:04:18 发布

阅读量959

点赞数 2

分类专栏：网络安全之Web系列文章标签： web安全前端安全

本文链接：https://blog.csdn.net/y435242634/article/details/122486867

版权

网络安全之Web系列专栏收录该内容

8 篇文章 1 订阅

订阅专栏

文章目录

前言
一、Burp Suite是什么？
二、Burp Suite的破解安装
三、Burp Suite的使用
总结

前言

工欲善其事必先利其器，本文将介绍Burp Suite工具的使用。

一、Burp Suite是什么？

Burp Suit（简称Burp）是一款Web安全领域的跨平台工具，基于Java开发。它集成了很多用于发现常见Web漏洞的模块，如Proxy、Spider、Scanner、Intruder、Repeater等。所有的模块共享一个能处理并显示HTTP消息的扩展框架，模块之间无缝交换信息。

二、Burp Suite的破解安装

安装Burp Suite之前需要先安装JDK。
提示：Burp Suite Professional 2021.10.3 Build 10704 需要安装 jdk-11.0.13_windows-x64_bin
Burp Suite Professional 2021.10.3 Build 10704的下载地址：Burp Suite2021.10.3 里面包含了破解软件和JDK11。
下载解压后通过“java -jar burploader.jar”方式运行，首次运行选择手动激活，后续每次都需要使用命令运行，或者直接运行“run.bat”脚本。

三、Burp Suite的使用

1.Proxy代理模块

代理模块是Burp的核心模块，主要用来截获并修改浏览器、手机APP等客户端的HTTP/HTTPS数据包。
要想使用Burp，必须先设置代理端口。依次选择Proxy→Options→Proxy Listeners→Add增加代理，如图所示：
在这里插入图片描述
在Bind to port 一栏内填写侦听的端口，这里以8080端口为例。如果要在本机使用，可以将Bind to address设置为Loopback only；如果要让局域网内的设备使用代理，则应该选择All interfaces。点击OK按钮后勾选Running。

使用Burp Suite内置的浏览器可以不用配置代理和HTTPS证书就可以直接使用，如果使用其它浏览器则需要设置代理和安装HTTPS证书。
接下来，在Proxy→Intercept选项卡下设置Intercept is on，这样就能截获浏览器的数据包并进行修改操作了。如果设置Intercept is off，则不会将数据包拦截下来，而是会在HTTP history中记录该请求。
在数据包内容展示界面上单击右键，可以将这个数据包发送给Intruder、Repeater、Comparer、Decoder等模块，
在这里插入图片描述
HTTP请求响应乱码的解决办法：
在User options→Display→HTTP Message Display→Font修改字体和Character Sets修改编码。

2.Repeater重放模块

在需要手工测试HTTP Header中的Cookie或User-Agent等浏览器不可修改的字段是否存在注入点，以及需要发现复杂的POST数据包中是否存在SSRF时，一般需要用到Repeater模块。
在Proxy中单击右键并选择Send to Repeater（或者Ctrl+r）就可以将截获的数据包发向Repeater模块，这个模块应属于实践中最常用的模块。在这个模块中，左边为将要发送的原始HTTP请求，右边为服务器返回的数据。在界面左侧可以方便地修改将要发送的数据包，用于手工测试Payload等操作，修改完成后点击Go按钮，即可在右侧收到服务器的响应。
Raw标签页既可以方便地添加HTTP头信息，又可以避免在手动修改HTTP头时因缺少空格等原因产生问题。例如，我们有时候会在CTF中遇到检查IP地址的题目，此时就可以添加X-Forwarded-For、X-Real-IP等HTTP头尝试绕过。在添加之后，可以在Raw标签页中发现这个新增加的HTTP头信息。
Hex标签页更多用于修改HTTP数据包的十六进制编码。比如，可以将其用在文件上传类型的CTF题目中以截断后缀，或者是使用这些编码来对WAF进行模糊测试，并让我们可以顺利上传Webshell。
在这里插入图片描述

3.Intruder暴力破解模块

暴力破解（以下简称“爆破”）是一种低成本但可能带来高回报的攻击方式。
Intruder模块包含Sniper、Battering ram、Pitchfork、Cluster bomb等四种攻击类型，可以方便地进行Fuzz等测试。在Proxy等模块中，在想要测试的数据包上点击右键并选择Send to Intruder（或者Ctrl+l）即可将数据包发向Intruder模块。Intruder模块中包含了Target、Position、Payload、Options这四个标签页，可分别用于设置不同的功能。
在Target标签页中可以设置攻击目标的地址（Host）和目标端口（Port），并且可以选择是否使用HTTPS。
在这里插入图片描述
在Position标签页中可以设置攻击的位置和攻击的方法。攻击位置可以自动选择（一般自动选择的变量通常会比较多，不推荐自动选择）。手动选择的方法是：如果你的Burp已经进行了自动选择，那么先点击Clear§按钮，然后选择你要爆破的变量，再点击Add§按钮即可
在这里插入图片描述

4.Decoder解码模块

Decoder模块为我们提供了丰富的编码与解码工具，可以方便地对HTTP/HTTPS中需要的数据进行编码和解码，并且支持用文本格式或十六进制模式进行查看，在这里，将需要处理的数据输入文本框中，然后选择编码或者解码的模式。除了编码和解码以外，Decoder模块还提供了如MD5、SHA等常见的哈希算法，十分方便。不过，在一般情况下不推荐使用Smart decode进行解码。