免費(fèi)版本：滲透大牛都用來修改包和監(jiān)視包（被動(dòng)的）

收費(fèi)版本：可以主動(dòng)向web掃描獲取漏洞

不過大家窮都用免費(fèi)的

?

在學(xué)習(xí)Burpsuit之前，我先說一下什么是代理，就是代理網(wǎng)絡(luò)用戶去取得網(wǎng)絡(luò)信息，作為一個(gè)在瀏覽器和目標(biāo)應(yīng)用程序之間的中間人，允許你攔截，查看，修改在兩個(gè)方向上的原始數(shù)據(jù)流。形象地說：它是網(wǎng)絡(luò)信息的中轉(zhuǎn)站。一般情況下，我們使用瀏覽器直接去連接其他internet 站點(diǎn)取得網(wǎng)絡(luò)信息時(shí)，必須送出請求信號來得到回答，然后對方再把信息以字節(jié)方式傳送回來。代理服務(wù)器是介于瀏覽器和web 服務(wù)器之間的一臺服務(wù)器，有了它之后瀏覽器不是直接到we b 服務(wù)器去取回網(wǎng)頁，而是向代理服務(wù)器發(fā)出請求，請求信號會先送到代理服務(wù)器，由代理服務(wù)器取回瀏覽器所需要的信息并傳送給你的瀏覽器。而且，大部分代理服務(wù)器都具有緩沖功能，就好像一個(gè)大的cach e，它有很大的存儲空間，不斷將新取得的數(shù)據(jù)儲存到本機(jī)的存儲空間，如果瀏覽器所請求的數(shù)據(jù)在它本機(jī)的空間已經(jīng)存在而且是最新的，那么它就不重新從we b 服務(wù)器取數(shù)據(jù)，而直接將存儲器上的數(shù)據(jù)傳送給用戶，這樣就能顯著提高瀏覽速度和效率。?????
?

一：簡介? ? ??

Burpsuite 是用于攻擊web?應(yīng)用程序的集成平臺。它包含了許多Burp工具，這些不同的Burp工具通過協(xié)同工作，有效的分享信息，支持以某種工具中的信息為基礎(chǔ)供另一種工具使用的方式發(fā)起攻擊。這些工具設(shè)計(jì)了許多接口，以促進(jìn)加快攻擊應(yīng)用程序的過程。所有的工具都共享一個(gè)能處理并顯示HTTP 消息，持久性，認(rèn)證，代理，日志，警報(bào)的一個(gè)強(qiáng)大的可擴(kuò)展的框架。它主要用來做安全性滲透測試。其多種功能可以幫我們執(zhí)行各種任務(wù).請求的攔截和修改,掃描web應(yīng)用程序漏洞,以暴力破解登陸表單,執(zhí)行會話令牌等多種的隨機(jī)性檢查。
?

二：工具欄介紹

1.Target(目標(biāo))——顯示目標(biāo)目錄結(jié)構(gòu)的的一個(gè)功能

2.Proxy（代理）——是一個(gè)攔截HTTP/S的代理服務(wù)器（抓包），作為一個(gè)在瀏覽器和目標(biāo)應(yīng)用程序之間的中間人，允許你攔 截，查看，修改在兩個(gè)方向上的原始數(shù)據(jù)流。

3.Spider（爬蟲）——是一個(gè)應(yīng)用智能感應(yīng)的網(wǎng)絡(luò)爬蟲，它能完整的枚舉應(yīng)用程序的內(nèi)容和功能。

4.Scanner（掃描器）[僅限專業(yè)版]——是一個(gè)高級的工具，執(zhí)行后，它能自動(dòng)地發(fā)現(xiàn)web 應(yīng)用程序的安全漏洞。

5.Intruder（入侵）——是一個(gè)定制的高度可配置的工具，對web應(yīng)用程序進(jìn)行自動(dòng)化攻擊，如：枚舉標(biāo)識符，收集有用的數(shù)??????據(jù)，以及使用fuzzing 技術(shù)探測常規(guī)漏洞。

6.Repeater（中繼器）——是一個(gè)靠手動(dòng)操作來補(bǔ)發(fā)單獨(dú)的HTTP 請求，并分析應(yīng)用程序響應(yīng)的工具。

7.Sequencer（會話）——是一個(gè)用來分析那些不可預(yù)知的應(yīng)用程序會話令牌和重要數(shù)據(jù)項(xiàng)的隨機(jī)性的工具。

8.Decoder（解碼器）——是一個(gè)進(jìn)行手動(dòng)執(zhí)行或?qū)?yīng)用程序數(shù)據(jù)者智能解碼編碼的工具。

9.Comparer（對比）——是一個(gè)實(shí)用的工具，通常是通過一些相關(guān)的請求和響應(yīng)得到兩項(xiàng)數(shù)據(jù)的一個(gè)可視化的“差異”。10.Extender(擴(kuò)展)——可以讓你加載Burp Suite的擴(kuò)展，使用你自己的或第三方代碼來擴(kuò)展Burp Suit的功能。
11.Options(設(shè)置)——對Burp Suite的一些設(shè)置

?

?三：功能

截獲代理– 讓你審查修改瀏覽器和目標(biāo)應(yīng)用間的流量。

??爬蟲 – 抓取內(nèi)容和功能

??Web應(yīng)用掃描器?–自動(dòng)化檢測多種類型的漏洞

??Intruder – 提供強(qiáng)大的定制化攻擊發(fā)掘漏洞

??Repeater – 篡改并且重發(fā)請求

??Sequencer –測試token的隨機(jī)性

??能夠保存工作進(jìn)度，以后再恢復(fù)

插件*–??你可以自己寫插件或者使用寫好的插件，插件可以執(zhí)行復(fù)雜的，高度定制化的任務(wù)

*表示需要Burp Suite Pro授權(quán)。
?

?四：截取代理具體步驟

第一步：終端打開burpsuite?

??第二步：建立代理監(jiān)聽(Proxy–> Options功能下)。我的設(shè)置為了默認(rèn)值localhost (127.0.0.1)，端口為8080。

? ?第三步：到瀏覽器的網(wǎng)絡(luò)連接設(shè)置處手動(dòng)配置代理設(shè)置。

記住，軟件設(shè)置的端口和IP一定要和瀏覽器一致。

?

?

第四步：現(xiàn)在可以訪問我們要測試的應(yīng)用，然后看到發(fā)送的所有請求了。到Proxy –> Intercept標(biāo)簽頁，然后確保截獲功能開啟(“Intercept is on”)，然后就能看到所有的請求了。

?

總結(jié)

以上是生活随笔為你收集整理的Burpsuite Web渗透-扫描工具（中间攻击，渗透大牛都用来修改包和监视包）的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。