burp功能介绍

原创已于 2024-11-26 12:00:06 修改 · 2.2k 阅读

16 ·

CC 4.0 BY-SA版权

文章标签：

#安全 #前端 #web安全 #python #服务器

于 2024-11-25 19:32:37 首次发布

泷网安专栏收录该内容

14 篇文章

订阅专栏

免责声明：学习视频来自 B 站up主泷羽sec，如涉及侵权马上删除文章。笔记的只是方便各位师傅学习知识，以下代码、网站只涉及学习内容，其他的都与本人无关，切莫逾越法律红线，否则后果自负。 B站地址：https://space.bilibili.com/350329294

一，什么是burp

Burp Suite 是一款用于 Web 应用程序安全测试的集成平台软件。

帮助渗透测试人员全面刨析目标Web应用的安全性。

二，burp的主要功能

1，proxy代理

Burp 代理就像一个网络流量的中转站。当你在浏览器中配置好使用 Burp 代理后，浏览器发出的 HTTP/HTTPS 请求首先会被发送到 Burp 代理服务器。例如，你在浏览器中访问一个网页，请求会先到达 Burp 代理，代理接收到请求后，记录下请求的详细信息，包括请求方法（如 GET、POST 等）、请求头（包含了如 User - Agent、Cookie 等信息）、请求体（如果是 POST 请求，可能包含表单数据等）。
然后，Burp 代理会将这个请求原封不动地转发给目标 Web 服务器。服务器收到请求后，会返回响应，这个响应同样会先经过 Burp 代理。代理会再次记录响应的详细信息，如响应头（包含了服务器类型、响应状态码等信息）和响应体（网页的 HTML 内容、JSON 数据等），最后再将响应返回给浏览器。
使用场景多在请求调试，安全测试，修改请求进行漏洞测试时

‍

2，spider爬虫

爬虫工具是基于 Web 页面的链接关系进行工作的。你给它一个起始 URL，它会像一个真正的爬虫在网络上爬行一样，开始访问这个 URL。当它访问到一个页面时，会解析页面中的所有链接（包括 HTML 中的<a>标签、<form>标签等中的链接）。
然后，它会根据一定的规则（如深度优先或广度优先）依次访问这些新发现的链接，并且在访问过程中不断重复这个过程，直到满足一定的停止条件，如达到预设的爬行深度、页面数量限制或者没有新的链接可访问。在这个过程中，蜘蛛会将访问到的所有页面、文件和表单等信息记录下来，并构建一个站点地图。
应用场景：网站结构发现，发现隐藏资源等

‍

3，scanner(扫描器)

Burp 扫描器会对通过代理或者其他方式收集到的请求和响应数据进行分析。它内置了大量的漏洞检测规则，这些规则是基于常见的安全漏洞模式和攻击技术建立的。例如，对于 SQL 注入漏洞，扫描器会检查请求中的参数是否被用于数据库查询，并且会尝试使用一些已知的 SQL 注入攻击模式来检测这些参数是否存在漏洞。
当扫描器检测到一个可能的漏洞时，它会进一步验证这个漏洞。例如，它可能会尝试多种不同的攻击向量，观察服务器的不同响应，来确定这个漏洞是否真实存在并且可以被利用。在扫描完成后，扫描器会根据漏洞的严重程度、可利用性等因素对发现的漏洞进行分级，并生成详细的漏洞报告。
扫描器也不是万能的，有些复杂的漏洞需要手动测试来发现
应用场景：自动化漏洞检测，漏洞风险评估

‍

4，intruder(入侵工具)

Intruder 通过自定义攻击载荷（Payloads）来对目标进行攻击。攻击载荷是一组用于测试的数据，例如，如果你想对一个登录页面进行暴力破解，你可以创建一个包含大量用户名和密码组合的字典作为攻击载荷。
Intruder 有多种攻击模式，如 Sniper（狙击手模式）、Battering Ram（攻城锤模式）、Pitchfork（干草叉模式）和 Cluster Bomb（集束炸弹模式）。以 Sniper 模式为例，它会针对一个或多个位置（如一个请求中的用户名和密码字段），每次使用一个攻击载荷中的值进行攻击，就像狙击手逐个瞄准目标一样。在攻击过程中，Intruder 会发送带有不同攻击载荷的请求，并观察目标应用程序的响应，根据响应的差异来判断是否攻击成功。
它还可以用于检测参数的边界值，通过修改参数值的范围来发现潜在漏洞，比如整数溢出漏洞
使用场景：密码破解，参数模糊测试

‍

5，Repeater(中继器)

可以从 Burp Suite 的其他组件（如代理）捕获请求，也可以手动构造请求并将其加载到中继器中。例如，在代理拦截到一个感兴趣的请求（如一个登录请求或者一个包含重要参数的 API 请求）后，你可以将这个请求发送到中继器中进行进一步的分析。
一旦请求被加载到中继器中，就可以对请求的各个部分进行修改。包括修改请求方法（如将 GET 改为 POST）、修改请求头（例如添加或修改 Cookie、User - Agent 等信息）、修改请求体（对于 POST 请求，修改表单数据、JSON 数据等）。比如，如果你怀疑某个请求头中的某个字段可能会影响服务器的响应，你可以在中继器中方便地修改这个字段的值，然后重新发送请求。
应用场景：漏洞验证，功能测试

‍

6，Decoder(解码器)

- Burp Decoder（解码器）是一个用于对数据进行编码和解码操作的工具。它能够处理多种常见的编码格式，帮助安全测试人员更好地理解和处理在 Web 应用程序安全测试过程中遇到的各种数据。
- 支持解码格式：URL编码，html编码，base64
- 应用场景：漏洞分析，数据处理和构造
- 当然解码器也不是万能的因为加密方法太多就需要进行大量数据比对解码
- 同时也可以对自定义数据进行编码以模拟一些特殊的攻击场景，如经过编码的恶意脚本进行xss攻击

7，Comparer(比较器)

Burp Comparator 是一个用于比较两个数据项（如请求、响应或其他任意文本数据）之间差异的工具。它可以帮助安全测试人员快速发现数据在经过不同处理阶段（如经过不同的服务器端脚本、经过网络传输等）后的变化情况。
应用场景：比如在测试文件上传功能时，比较正常文件上和恶意文件上传后服务器响应的差异，来判断是否存在安全漏洞
可以比较的数据包括http头消息，消息体，xml数据，json数据等格式

‍

8，Sequencer(序列器)

功能:主要用于分析应用程序会话令牌(SessionTokens)或其他重要数据的随机性和可预测性。它通过收集和分析大量的令牌样本，来评估这些数据是否足够安全。
应用场景:例如，对于一个基于会话的 Web 应用程序，通过 Sequencer来检查会话令牌是否是随机生成的，还是存在可预测的模式。如果令牌是可预测的，那么攻击者就有可能劫持其他用户的会话，从而获取非法访问权限。它可以帮助发现如会话固定、令牌预测等安全隐患。

9，logger

功能:它用于记录所有通过代理的请求和响应的详细信息。这些记录可以在后续的分析中发挥作用，例如，当你需要回顾整个测试过程中某个特定功能的请求和响应情况时Logger 中的记录就可以提供完整的数据。
应用场景:在一个复杂的 Web 应用程序测试中，可能涉及到大量的交互操作。通过 Logger 可以完整地保存所有相关的信息，便于在发现问题后进行回溯和分析，找出可能导致漏洞的操作步骤或者数据传输情况。

‍

10，Target(目标)

功能:它用于定义和管理测试目标。可以添加、删除和编辑目标网站的相关信息，包括目标的范围(如特定的 URL路径范围)、目标的状态(是否正在测试等)等。
应用场景:在对多个 Web 应用程序或者一个大型 Web 应用程序的不同模块进行测试时，通过 Target 组件可以有效地组织和区分不同的测试目标，确保测试工作的系统性和针对性。
例如，在一个企业级应用中，不同的子系统可能有不同的安全要求，通过 Target 可以分别定义这些子系统为不同的目标进行独立测试。