Burp suite基本配置介绍

实验目的

利用Burp Spider功能探测目标网站的目录结构。

实验原理

1)Burp Suite是Web应用程序测试的最佳工具之一，其多种功能可以帮我们执行各种任务.请求的拦截和修改,扫描web应用程序漏洞,以暴力破解登陆表单,执行会话令牌等多种的随机性检查。本文将做一个Burp Suite完全正的演练，主要讨论它的以下特点. 2)代理–Burp Suite带有一个代理,通过默认端口8080上运行，使用这个代理，我们可以截获并修改从客户端到web应用程序的数据包. 3)Spider(蜘蛛)–Burp Suite的蜘蛛功能是用来抓取Web应用程序的链接和内容等，它会自动提交登陆表单（通过用户自定义输入）的情况下.Burp Suite的蜘蛛可以爬行扫描出网站上所有的链接,通过对这些链接的详细扫描来发现Web应用程序的漏洞。 4)Scanner(扫描器)–它是用来扫描Web应用程序漏洞的.在测试的过程中可能会出现一些误报。重要的是要记住,自动扫描器扫描的结果不可能完全100％准确. 5)Intruder(入侵)–此功能呢可用语多种用途,如利用漏洞,Web应用程序模糊测试,进行暴力猜解等. 6)Repeater(中继器)–此功能用于根据不同的情况修改和发送相同的请求次数并分析. 7)Sequencer–此功能主要用来检查Web应用程序提供的会话令牌的随机性.并执行各种测试. 8)Decoder(解码)–此功能可用于解码数据找回原来的数据形式,或者进行编码和加密数据. 9)Comparer–此功能用来执行任意的两个请求,响应或任何其它形式的数据之间的比较.

实验内容

Burp Spider功能探测目标网站的目录结构

实验环境描述

Kali操作系统

用户名密码为：root toor

实验步骤

一、Burp Suite介绍 1.1Proxy(代理),代理功能使我们能够截获并修改请求.为了拦截请求,并对其进行操作，浏览器发送的数据先通过Burp Suite软件,然后再提交给目标网站.在浏览器上设置代理服务器地址和端口号。Burp Suite默认的代理地址为127.0.0.1 端口号为8080。打开浏览器页面，单击“右上角红色方框”-〉“Preferences”。如图1所示

1.2单击“network”->”setting”。如图2所示

1.3在打开的界面选择“Manual proxy configuration”->”HTTP Proxy”。输入“127.0.0.1”和port”8080”。如图3所示

1.4单击桌面空白处，右键菜单选择“在终端中打开”。如图4所示

1.5在命令终端中输入命令“burpsuite”，启动burpsuite软件。如图5所示

1.6在proxy标签下，显示了软件的默认代理设置。如图6所示

1.7打开Burp Suite，标签”Proxy”->”intercept”,进行Intercept(截断),需要确保intercept is on，Burp Suite开始截断网页和服务器之间的数据包了，只有单击了“Forward”按钮，数据包才能交互。如图7所示

1.8如果intercept is off，表示网页和服务器交互的数据包通过Burp Suite，但Burp Suite软件不截取数据包。如图8所示