网络攻防之——web应用代理

通过应用代理工具分析数据包，或修改数据包重放，暴力攻击等在web安全测试中经常用到

burpsuite

Burp Suite 是用于攻击web 应用程序的集成平台。它包含了许多工具，并为这些工具设计了许多接口，以促进加快攻击应用程序的过程。

proxy是代理。在option中，显示了代理监听是127.0.0.1，监听8080端口。如果我们将浏览器设置成127.0.0.1，端口号设置成8080，我们看一下是什么效果

设置完成之后，我们访问www.baidu.com，发现并没有得到百度的页面。这时候再看burpsuite中，intercept变成了黄色，同时还多出了一个GET请求

这时我们在百度中搜索一个关键字nba，可以看到bursuite有抓到了一个包

既然抓到了包，我们就可以i对包进行修改和利用

关于burpsuite的详细使用过程，会在以后详细介绍

owasp–zap

这是一款查找网页应用程序漏洞的综合类渗透测试工具。它包含了拦截代理，自动处理，被动处理，暴力破解，端口扫描以及蜘蛛搜索等功能。owasp zap为会话类调试工具，调试功能对网站不会发起大量请求，对服务器影响较小

paros

这是一个对web应用程序的漏洞进行评估的代理程序，即一个基于java的web代理程序，可以评估web应用程序的漏洞，它支持动态地编辑/查看HTTP/HTTPS,从而改变cookies和表单字段等项目。它包括一个web通信记录程序，web圈套程序（spider），hash计算器，还有一个可以测试常见的web应用程序攻击（如SQL注入式攻击和跨站脚本攻击）的扫描器。该工具检查漏洞形式包括：SQL注入，跨站点脚本攻击，目录遍历等。

vega

这个工具之前用过，它也有代理的功能。

vega是一个开源的web应用程序安全测试平台，能够帮助你验证SQL注入，XSS，敏感信息泄露和其他一些安全漏洞。

webscarab

手工修改包之类的功能，爬虫，xss检测等等。它是一款代理软件，包括HTTP代理，网络爬行，网络蜘蛛，会话ID分析，自动脚本接口，模糊测试工具，web格式的编码/解码，web服务描述语言和soap解析器等功能模块。