burpsuit2.0基础使用说明

一．简介

Burpsuite是基于Java的用于web安全的工具，能够进行爬虫、代理、编码、密码爆破等任务，并支持对XSS漏洞、文件包含等漏洞的主动扫描或被动扫描。burpsuite2.0具体分为以下10个模块：

• Dashboard(仪表盘)——显示任务、实践日志等。
• Target(目标)——显示目标目录结构的的一个功能。
• Proxy(代理)——拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许你拦截，查看，修改在两个方向上的原始数据流。
• Intruder(入侵)——一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing 技术探测常规漏洞。
• Repeater(中继器)——一个靠手动操作来触发单独的HTTP 请求，并分析应用程序响应的工具。
• Sequencer(会话)——用来分析那些不可预知的应用程序会话令牌和重要数据项的随机性的工具。
• Decoder(解码器)——进行手动执行或对应用程序数据者智能解码编码的工具。
• Comparer(对比)——通常是通过一些相关的请求和响应得到两项数据的一个可视化的“差异”。
• Extender(扩展)——可以让你加载Burp Suite的扩展，使用你自己的或第三方代码来扩展Burp Suit的功能。
• Options(设置)——包括Project options和User options，是对Burp Suite的一些设置。

 

二．下载地址

Brupsuite2.0下载地址：https://pan.baidu.com/s/1kOrcBwDs6qOzZvShAIj-Ew

密码：bibn

 

三．安装

3.1若无java环境，安装java1.8版本的环境：

1. 一直下一步安装

2. 配置java环境变量

3. 重启计算机使java环境生效

 

3.2安装burpsuit

1.双击burp-loader-keygen.jar

2.点击Run，弹出新弹框

3.点击“I Accept”

4.将原弹框的License Text复制到新弹框，点击next

5.点击Manual activation

6.点击copy request，将内容复制到keygen弹框中的Activation Request，自动生成Activation Response，再将Activation Response复制到Manual弹框的最后一个输入框去。点击next。

7.激活成功，点击finish

8.点击leave

9.点击next

10.点击start burp

11.安装完成

3.3打开

以后每次打开，只要burp-loader-keygen.jar，点击leave即可

 

四．扫描

Scan 这个功能模块的作用则是扫描，一个 Web 应用程序的扫描器，是 Pro 版独有的，社区版则不带有此功能。

4.1开启代理

1.点击option，默认有一条127.0.0.1:8080的代理

2.在浏览器里进行配置（用firefox进行演示），找到网络，选择手动配置代理，输入127.0.0.1，端口8080，点击确定。

3.配置抓取https请求的ca证书：

在firefox的url输入127.0.0.1:8080，点击CA Certificate

4.保存文件：

5.在firefox搜索证书，进行导入：

6.抓包的时候浏览器打不开网页属于正常现象，如果想在网页查看，勾选option里的三个选项即可：

4.2被动式与主动式

Crawl：爬行；Audit：审计。在burpsuite中，爬虫和审计分为主动式、被动式。

1.被动式：

在Dashboard仪表盘模块下，有关于爬虫和审计两个功能的设置：

Live passive crawl from Proxy实时被动爬虫。

Live audit from Proxy实时审计。

被动式是几乎不额外构造请求进行爬虫和扫描，根据用户浏览网页进行常规请求，并对请求的数据进行简单分析。

2.主动式：

在Dashboard仪表盘模块下，点击New scan，进行扫描配置

 

4.3主动式扫描

4.3.1使用抓取请求扫描

1.开启代理，浏览网站，在http history中获取请求记录：

2.在http history中ctrl+a全选，右键点击scan

3.选择consolidate items，可以有针对性的进行过滤

4.点击ok进行扫描

 

4.3.2从某个url下扫描所有路径：

1.点击New scan，在弹框中输入url

2.Sitemap会展示该url的目录结构

3.Dashboard会展示扫描的进度与问题总计：

五．导出报告

1.在target->site map，选择某个url，右侧issues按ctrl+a全选，右键，点击Report selected issues

2.选择html，点击next

3.默认，点击next

4.默认，点击next

5.默认，点击next

6.点击select file，选择路径，输入文件名称，例如：report.html，点击next，导出完成