一键学懂BurpSuite（1）

声明！
学习视频来自B站up主 泷羽sec 有兴趣的师傅可以关注一下，如涉及侵权马上删除文章，笔记只是方便各位师傅的学习和探讨，文章所提到的网站以及内容，只做学习交流，其他均与本人以及泷羽sec团队无关，切勿触碰法律底线，否则后果自负！！！！有兴趣的小伙伴可以点击下面连接进入b站主页B站泷羽sec

一、burpsuite简介

burpsuite是一款极为强大且受欢迎的集成化web应用安全测试工具，由多个协同运作的模块组成，旨在助力安全从业者、渗透测试人员以及安全爱好者全面剖析目标web应用的安全性，精准探测各类潜在漏洞，无论是简单的小型网站，还是复杂的大型企业web系统，它都能大显身手

burpsuite是一款用于web应用程序安全测试的集成平台

二、主要功能组件

1.Proxy（代理）

新版本自带浏览器
它是burp suite的核心组件之一，通过配置浏览器或者其他客户端使用burpsuite的代理服务器，它能够拦截并查看客户端和服务器之间传输的HTTP/S请求和响应

例如，当你在浏览器中访问一个网站时，请求会先被burpsuite的代理捕获，这使得安全测试人员可以查看请求中的详细信息，如请求方法（GET、POST等）、URL、请求头（包含如USER-Agent、Cookie等重要信息）和请求体（对于POST请求等包含提交的数据）同时，也能查看服务器返回的响应，包括响应状态码、响应头和响应体
可以对这些请求和响应进行修改后再转发，这对于测试输入验证、SQL注入、跨站脚本攻击（XSS）等漏洞非常有用，比如在测试SQL注入时，可以在请求的参数中修改数据，看服务器是否会执行恶意的SQL语句

2.spider（爬虫）

这个组件用于自动发现web应用程序的内容和功能，它会从一个起始URL开始，像一个真正的搜索引擎爬虫一样，递归地搜索链接，表单等内容

例如，如果你给它一个网站的首页URL，它会顺着页面中的链接去访问其他页面，并且能够识别表单提交的目标URL，从而发现更多的页面路径，这有助于安全测试人员全面了解应用程序的结构，确保不会遗漏任何可能存在漏洞的页面，可以根据自定义的规则进行爬取，如限制爬取的深度、范围等，以便更好地适应不同的测试场景

3.scanner（扫描器）

它能够自动检测web应用程序中的各种安全漏洞，它会根据内置的漏洞检测规则和技术，对通过代理或蜘蛛发现的目标应用程序进行扫描，本质就是进行特征比对

例如，它可以检测常见的漏洞，如SQL注入漏洞、跨站脚本攻击（XSS）漏洞、文件包含漏洞等。在扫描过程中，它会发送一系列精心构造的测试请求，然后分析服务器的响应来判断是否存在漏洞
扫描器会生成详细的扫描报告，指出发现漏洞的位置、类型和风险等级，帮助安全测试人员快速定位和修复问题，不过扫描器也不是万能的，有些复杂的漏洞可能需要手动测试来发现

4.intruder（攻击器）

Intruder是用于执行各种攻击，如暴力破解密码、枚举目录和文件等工具，它允许安全测试人员通过配置攻击载荷（payloads）来对目标进行攻击

例如，在进行密码暴力破解的时候，可以将用户名作为一个固定参数，密码字段作为攻击载荷的位置（比如有些人会将生日和一些重要的日子作为密码，可以根据人性的弱点来生成密码），然后选择合适的密码字典作为攻击载荷，intruder会自动发送一系列请求，尝试不同的密码组合，通过观察服务器的响应来判断是否成功登录

它还可以用于测试参数的边界值，通过修改参数的值的范围来发现潜在的漏洞，比如整数溢出漏洞

5.repeater（中继器）（重放器）

主要用于手动修改和重新发送单个请求（抓包改包），安全测试人员可以在repeater中获取从代理拦截的请求，或者自己手动构建请求

例如，当发现一个可疑的请求时，可以将其发送到repeater中，然后对参数进行修改，如修改一个用户ID参数的值，再次发送请求，观察服务器的不同响应，从而判断该参数是否存在安全风险，如越权访问等问题

6.decoder（编码器）

用于对数据进行编码与解码的操作，在web应用程序安全测试中，经常会遇到需要对数据进行编码转换的情况，如URL编码、base64编码等

例如，当遇到一个经过base64编码的敏感信息（如用户凭证）在请求或响应中时，可以使用decoder将其解码，查看原始内容，同时也可以对自定义的数据进行编码，以模拟一些特殊的攻击场景，如构造经过编码的恶意脚本进行xss测试

7.comparer（比较器）

功能：用于比较两个不同的请求、响应或者其他数据之间的差异，这在安全测试中非常有用，例如当你修改了一个请求参数并重新发送之后，可以使用comparer来查看响应内容与原始响应有哪些不同之处（本质也是经过大量的数据比对）

应用场景：比如在测试文件上传功能时，比较正常文件上传和恶意文件上传（如包含恶意脚本的文件）后的服务器响应差异，以此来判断是否存在安全漏洞，它可以比较的数据包括HTTP消息头、消息体、XML数据、json数据等多种格式

8.sequencer（序列器）

功能：主要用于分析应用程序会话令牌（session tokens）或其他重要数据的随机性和可预测性，它通过收集或分析大量的令牌样本，来评估这些数据是否足够安全

应用场景：例如，对于一个基于会话的web应用程序，通过sequencer来检查会话令牌是否是随机生成的，还是存在可预测的模式，如果会话令牌是可预测的，那么攻击者就有可能劫持其他用户的会话，从而获取非法访问权限，它可以帮助发现如会话固定，令牌预测等安全隐患

9.extender（扩展）

功能：这是一个允许用户扩展burpsuite功能的组件，可以通过编写自定义的插件或者加载第三方插件来添加新的功能，这些插件可以是用于新的漏洞检测方法，特定协议的处理或者其他个性化的安全测试需求

应用场景：安全研究社区经常会开发一些新的插件来针对最新出现的漏洞类型或者特定行业应用的安全测试，例如，针对某种新型的物联网协议的安全测试插件，通过加载到extender中，可以让burpsuite具备检测该协议相关安全漏洞的能力

10.logger（记录器）

功能：它用于记录所有通过代理的请求和响应的详细信息，这些记录可以在后续的分析中发挥作用，例如，当你需要回顾整个测试过程中某个特定功能的请求和响应情况时，logger中的记录可以提供完整的数据

应用场景：在一个复杂的web应用程序测试中，可能涉及到大量的交互操作，通过logger可以完整地保存所有相关的信息，便于发现问题后进行回溯和分析，找出可能导致漏洞的操作步骤或者数据传输情况

11.target（目标）

功能：它用于定义和管理测试目标，可以添加、删除和编辑目标网站的相关信息，包括目标范围（如特定的URL路径范围）、目标的状态（是否正在测试等）等

应用场景：在对多个web应用程序或者一个大型web应用程序的不同模块进行测试时，通过target组件可以有效地组织和区分不同的测试目标。确保测试工作的系统性和针对性，例如，在一个企业级应用中，不同的子系统可能有不同的安全要求，通过target可以分别定义这些子系统为不同的目标进行独立测试

三、应用场景

安全审计

企业的安全团队在使用burpsuite对公司内部开发的web应用程序进行安全审计，通过全面扫描和手动测试，发现潜在的安全漏洞，在应用程序上线前将风险降到最低

渗透测试

专业的渗透测试人员可以利用burpsuite的各种工具、模块来模拟黑客攻击的方式，对目标web应用程序进行渗透测试，从信息收集（通过spider）到漏洞利用（通过intruder等）为客户提供详细的安全评估报告

安全研究

安全研究人员可以使用burpsuite深入研究web应用程序的安全机制和漏洞类型，通过对不同应用程序的测试，发现新的漏洞或者验证新的攻击技术的有效性

四、版本和许可证

版本

Burpsuite有免费版本和专业版，免费版提供了基本的功能，如代理和简单的手动测试工具，对于初学者学习和小型项目的初步安全检查有一定帮助，专业版则提供了更强大的功能，如高级扫描器、更丰富的攻击载荷等，适合专业的安全测试和审计工作

许可证

购买专业版本许可证之后，可以获取软件的更新和技术支持，同时，许可证的使用也需要遵守相关的使用规定，如只能用于合法的安全测试目的，不能用于恶意攻击等非法活动，在使用burpsuite时，也需要注意其合法性