BurpSuite(一)工具介绍

, 本章目标:

1. 安装并配置好Burpsuite

2. 了解其各个模块功能

Burpsuite介绍

Burp Suite 是用于攻击web应用程序的集成平台。它包含了许多工具，并为这些工具设计了许多接口，以促进加快攻击应用程序的过程。所有的工具都共享一个能处理并显示HTTP消息，持久性，认证，代理，日志，警报的一个强大的可扩展的框架。

在网上找了很多版本, 经肉测, 以下版本可用, License到2018-12-3.先用着咯, 到时候不能用了再找解决.

甩链接(链接: https://pan.baidu.com/s/1ghhahZd 密码: jx7u)

下载好以后, 先配置好工具.

1. 安装JAVA JDK, 配置其环境变量. 此处不再赘述, 如果不太清楚, 度娘上很多文章.
2. 启动Burpsuite
   1. 　　双击BurpHelper.jar

　　　　　　

　　　　　　2. 导入Burpsuite的Jar包, 点击run

　　　　　　　　

　　　　　　3. 点击accept, 再next, 最后再点击start Burp, 这样工具就正式启动了.

　　　　　　　　

BurpSuite具有以下模块：

• Target：包含了SiteMap，用你的目标应用程序的详细信息。它可以让你定义哪些对象在范围上为你目前的工作，也可以让你手动测试漏洞的过程，Target分为site map和scope两个选项卡。

• Proxy：Proxy相当于BurpSuite的心脏，通过拦截，查看和修改所有的请求和响应您的浏览器与目标Web服务器之间传递。

• Spider：通过跟踪 HTML 和 JavaScript以及提交的表单中的超链接来映射目标应用程序，它还使用了一些其他的线索，如目录列表，资源类型的注释，以及robots.txt文件。结果会在站点地图中以树和表的形式显示出来，提供了一个清楚并非常详细的目标应用程序视图。Burp Spider 能使你清楚地了解到一个 web 应用程序是怎样工作的，让你避免进行大量的手动任务而浪费时间，在跟踪链接，提交表单，精简 HTNL 源代码。可以快速地确人应用程序的潜在的脆弱功能，还允许你指定特定的漏洞，如 SQL 注入，路径遍历。

• Scanner：是一个进行自动发现web应用程序的安全漏洞的工具。它是为渗透测试人员设计的，并且它和你现有的手动执行进行的 web 应用程序半自动渗透测试的技术方法很相似。

• intruder：是burp 套件的优势,他提供一组特别有用的功能。它可以自动实施各种定制攻击，包括资源枚举、数据提取、模糊测试等常见漏洞等。在各种有效的扫描工具中，它能够以最细化、最简单的方式访问它生产的请求与响应，允许组合利用个人智能与该工具的控制优点。

• sequencer: 对会话令牌，会话标识符或其他出于安全原因需要随机产生的键值的可预测性进行分析。

• Decoder: 转化成规范的形式编码数据，或转化成各种形式编码和散列的原始数据。它能够智能识别多种编码格式，使用启发式技术。

• Compare: 是一个简单的工具，执行比较数据之间的任何两个项目（一个可视化的“差异”）。在攻击一个Web 应用程序的情况下，这一要求通常会出现当你想快速识别两个应用程序的响应之间的差异（例如，入侵者攻击的过程中收到的两种反应之间之间，或登录失败的反应使用有效的和无效的用户名）之间，或两个应用程序请求（例如，确定不同的行为引起不同的请求参数）