10-2-10-burp(9)-爬虫与审计

声明！

学习视频来自B站up主 泷羽sec ，有兴趣的师傅可以关注一下，如涉及侵权马上删除文章，笔记只是方便各位师傅的学习和探讨，文章所提到的网站以及内容，只做学习交流，其他均与本人以及泷羽sec团队无关，切勿触碰法律底线，否则后果自负！！！！

文章为个人学习笔记。

‍

实时爬虫（Real-time Crawler）

1. 核心方法：Burp的爬虫通过点击链接和提交输入，像用户使用浏览器一样在目标应用中导航。它构建了一个表示应用内容和功能的有向图，展示了应用中不同位置及其之间的链接。

2. 会话处理：Burp的爬虫能够自动处理几乎所有浏览器能够处理的会话处理机制，无需用户配置会话处理规则。

3. 实时被动抓取：被动抓取会实时分析HTTP消息，并将条目添加到Target的站点地图中。在任务配置中，可以选择要添加的观察项目类型，例如链接和表单提交。

实时审计（Real-time Audit）

1. 审计配置：您可以在实时扫描配置中为选择的项目进行审计。对于需要升级的项目，可以指定要使用的审计配置。实时审计任务的常见用途是通过代理对所有流量进行被动审计，或是仅对某些范围内项目进行主动审计。

2. 自动会话处理：当Burp Scanner的审计跟随自动化爬取结果时，它能够自动维护会话，无需用户配置。

3. 避免重复：Burp Scanner使用各种技术来最小化重复工作和报告重复问题，例如通过聚合常见问题和处理频繁出现的插入点。

4. 插入点：Burp Scanner使用插入点的概念，在请求的不同位置放置载荷。插入点通常代表请求中可能由服务器端应用程序特别处理的数据。

5. 编码数据：不同位置的HTTP请求通常需要以不同的方式编码数据。Burp Scanner根据插入点的类型自动应用适当的编码，以确保原始载荷能够到达相关应用程序功能。

6. 嵌套插入点：有些应用程序对同一数据应用多层编码，实际上是将一种格式嵌套在另一种格式内。Burp Scanner能够检测这种行为，并自动对载荷应用相同的编码层。

新建实时任务

实时审计

​

​

‍

​

​

‍

​

​

‍

​

​

‍

实时爬虫

​

​

‍

​

​

​

​

‍

​

​

浏览网页

‍

​

​

‍

结果：

​

​

​

​

‍

‍

新建扫描：

​

​

‍

‍

​

​

‍

​

​

‍

​

​

‍

​

​

‍

​

​

爬虫

​

​

‍

 

​

‍

​

​

​

​

​

​