burp（5）爬虫审计

声明！

学习视频来自B站up主 **泷羽sec** 有兴趣的师傅可以关注一下，如涉及侵权马上删除文章，笔记只是方便各位师傅的学习和探讨，文章所提到的网站以及内容，只做学习交流，其他均与本人以及泷羽sec团队无关，切勿触碰法律底线，否则后果自负！！！！有兴趣的小伙伴可以点击下面连接进入b站主页[B站泷羽sec](https://space.bilibili.com/350329294)

免责声明：本教程作者及相关参与人员对于任何直接或间接使用本教程内容而导致的任何形式的损失或损害，包括但不限于数据丢失、系统损坏、个人隐私泄露或经济损失等，不承担任何责任。所有使用本教程内容的个人或组织应自行承担全部风险。

爬虫审计

1.首页任务：

新建扫描

新建实时任务

2.实时任务：

（1）类型

实时审计：对通过代理的所有流量进行实时分析和检测，使用官方POC进行验证。

实时被动爬虫：不主动向目标服务器发送请求，通过监听流量来收集信息。

选择任务类型和检测的工具范围

（2）实时审计的扫描设定：

比较重要的两个设置：

审计优化：设置审计的速度和准确率。

速度：快速、适中、全面。

准确率：减少漏报率、适中、减少误报率。

插入点类型：URL参数值、Body参数值、cookie参数值、参数名称、HTTP报头、整个主体、URL路径的文件名、URL路径的文件夹。

（3）实时审计和实时被动爬虫结合：

访问网站时同时进行信息收集和实时审计。

爬虫收集的信息会传输到“目标”的站点地图，方便查看。

3.新建扫描：

（1）类型

爬虫与审计：同时进行爬虫和审计，主动请求网站进行审计。

爬虫：主动请求服务器访问，不进行审计。

（2）扫描设定

用户需要在扫描的速度和覆盖范围之间进行选择。

轻量：速度最快，覆盖范围最小。

快速：速度较快，覆盖范围较小。

平衡：速度适中，覆盖范围适中。

深度：速度最慢，覆盖范围最大。

（3）应用登录

当扫描过程中遇到需要登录的页面时，系统将进行自动登录。

（4）资源池：

扫描的速度可以根据目标服务器的负担进行调整，以适应不同的服务器负载情况

注意：只有BurpSuite专业版才能使用扫描模块