都什么年代了还在用传统burpsuite？bp最强干货篇来啦

前言

使用环境：burpsuite 2023.9.1专业版

本文强调在渗透测试当中对bp工具的熟练使用以及一些扩展的应用

代理服务器的概念：设置在客户端(你)和服务器(各个网站)的中间人，会捕获你们两个人之间的流量

最后注：已经默认读者配置好了证书，本文侧重讲解使用部分

(文章很长，请读者耐心阅读，毕竟是要把整个工具过一遍，还要讲实际运用，插件等等)

创建项目

原理

在我们要对一个环境进行长期渗透的情况下，每次都打开临时项目数据是不是一点都不会留存了？在初始界面有个新建磁盘项目，会把当前的渗透过程建立成burp文件，后续打开已有项目就可以看回原来的数据啦

建立

下面这是中间保存的配置，具体怎么配置后面会说，这里我们先调整成默认

spider扫描

原理

就是通过跟踪 HTML 和 JavaScript 以及提交的表单中的超链接来映射目标应用程序

形式是扫描目标的url，然后将结果在站点地图中以树和表的形式映射出来(记住站点地图)

扫描分为主动和被动扫描，主动扫描就是下面的第一张图片，基于爬虫技术主动探测发现内容，而被动扫描就是我们设置了不拦截的代理服务器时默认捕获经过服务器的流量

建立spider扫描并选取url(主动)

爬虫设置

前面的设置也没啥好说的，里面的自定义设置是重点，通常用来设置深度，是否爬取robort.txt协议等等

在站点地图快速扫描

proxy代理

原理

使用步骤就是点代理，然后开启拦截，开启拦截的一瞬间，对面服务器就接受不到信息了(你的浏览器页面也会暂停)。

这是由于我们的请求包被“中间人”抓住了(代理的概念)，那么在这个时候，我们就可以对抓到的包进行更改

更改完以后，可以选择让它继续发送到服务器那里(放行,原本信息的轨迹)，或者是丢掉，所有的请求包会在http历史记录中进行记录，右边会有对请求包的整理

基本使用

进阶使用

在我们抓完包以后(无论主被动)，要面临的挑战都是大量的信息(HTTP历史记录)

这个时候我们不要着急，学会了高亮和筛选，你也能快速定位

高亮

筛选

点击中间的过滤位置

这样看，比如我们在面对前端挑战的时候，给个情景要找baidu的登录js，就可以只筛选script，状态码调整成2开头，过滤词写百度，如此这般，如果刚才有高亮的话就更好，选中只显示高亮条目，就能够快速筛选信息了

repeater重放

原理

其实也就是最开始说的抓住它以后进行修改，在我们拦截的过程中或者http历史记录点开都可以右键发送到repeater

改包

点开重放器以后就可以对它进行改动啦

改啥怎么改可以去我博客看下(学习是个自觉的过程咯)

https://blog.csdn.net/kiritio1024513/article/details/139453438

sequence定序器

原理

这一个板块我个人很少用到。它的作用是用来做数据分析，用来判断一个数据的随机性的。比如你在实战的时候遇到了一个token，我们可以通过这个板块来判断规律，然后想办法破解(我还不太会)。

它主要分为三部分

Live capture 实时捕获(捕获你选中的参数，然后对它进行数据分析) Manual load 手动加载（加载你刚才保存好的样本数据） Analysis options 令牌选项分析(决定你要怎么分析这个数据)

使用

这里我们拿DVWA的登录界面来当例子

随便抓个包发送到sequence

注意看下面我左上角标记的部分就是我刚刚说的三部分

然后我们再选中要分析的参数(这里它一般会勾选cookie的位置，我们要注意是否改变)

点击实时捕获

这里我暂停直接分析了，他就会给出一个分析表，注意看他下面那里有个保存令牌，保存完以后到我们下面的手动加载部分加载

手动加载

这里就是导入我们刚刚的样本数据了

意思就说我们可以离线查看刚才的分析数据

令牌分析(这里小编也不太会捏.)

加解密,对比工具和日志

原理

这三个工具的内容都不是很多，我直接一口气说完

第一个decoder编码加解密工具就说你在实战的时候遇到比如url编码，base64这种简单的编码都可以在这里直接加解密

第二个comparer对比工具就是你在渗透的时候比对两个请求的不同，或者说响应的不同来判断是否有漏洞

第三个就是日志，它和前面讲的http历史记录的不同就是，http历史记录只会记录经过proxy代理的部分，日志是所有板块发生的事情的集合，你可以通过筛选啥的找到你需要的信息

使用

1.编码，一目了然

2.对比工具

选取任意两个要比较的地方发送到比较器

然后比较就可以了

日志

如果有认真看我上面写的内容应该就没啥好讲的咯

extender插件

原理

原理？没啥原理，就是扩展一些新功能还能有啥，直接看使用

使用

1.选扩展

商店或者github下载都可以，下面图片是插件商店的

2.扩展环境配置

由于burpsuite是java写的，如果你要用python写的插件的话就要先下一个jython然后配置进去

(这个jython其实就是把python用java实现的一个环境)

项目地址：https://repo1.maven.org/maven2/org/python/jython-standalone/2.7.2/jython-standalone-2.7.2.jar

3.插件的使用

选中下载好的插件添加，选中类型配置就可以了，这里注意不同插件的使用方法不一定相同。

不过基本也类似前面那些板块的使用，右键发送到某个扩展这种，下面爆破板块的时候我会演示一下fakeip插件和capta-killer的使用(其他使用就自行摸索啦)

instruder爆破

原理

用字典对指定位置进行替换然后发送请求，里面有几种模式，分别是狙击手，撞击物，交叉和集束炸弹。

1.狙击手模式，用同一个字典针对一个地方进行替换，只有一个位置

攻击序号	位置1
1	a
2	b

2.撞击物模式，同一个字典对两个地方进行替换(位置1和2使用重复的字典)

攻击序号	位置1	位置2
1	a	a
2	b	b

3.交叉模式，两个字典分别对两个地方进行替换(字典1有a和b，字典2有c和d)

攻击序号	位置1	位置2
1	a	c
2	b	d

4.集束炸弹模式，求位置一和二的笛卡尔积，表格很清晰，从字典1的a开始匹配，配完字典2的所有情况以后，再从字典1的b开始重复上面的步骤(渗透常用)

攻击序号	位置1	位置2
1	a	c
2	a	d
3	b	c
4	b	d

基本使用

1.发送模块

和上面的repeater一样，在拦截窗口"右键"，选中发送到“instruder“(看上面的图就得)

2.选择模式添加payload

这里我就拿集束炸弹举例，我们选中位置，然后选右边的添加payload位置

3.在payload处分别设置字典

4.攻击

进阶使用

fakeip插件伪造IP

下载

https://github.com/TheKingOfDuck/burpFakeIP

原理：

通过改变x-forward-for头来不断替换自己的ip，这样在我们爆破的时候就不会被封ip了

使用：

1.这里我们右键选中扩展，然后选randomip(默认前面extender已经配置完毕)

2.选择交叉模式，payload一个选我们要爆破的密码，一个选模拟的ip

3.设置字典，这里注意生成器要调节为burpfakeip

4.攻击

captcha插件识别验证码爆破

下载

https://github.com/f0ng/captcha-killer-modified

下载完以后是一个jar文件和一个python文件，我们先把jar文件导入到bp

原理

这个插件简单来说就是图片转文字好吧，我们就是要把不同文字识别出来然后替换原来的部分

使用爆破

1.随便找一个有验证码的网站(这里只是做演示哈)

2.单独打开图片链接发现刷新的时候url的参数不变，只有验证码在变化，我们就先针对这种情况

3.我们先抓包上面这个图片链接发送到captcha插件

4.进来我们这个插件就会发现验证码url已经自动被填充了，我们点击获取右边就直接识别到验证码了

(这是第一步,可以直接看到验证码，但是不够啊，我们还要转文字呢，所以这是第一步)

5.用cmd窗口运行我们刚才跟着jar一起下载下来的codereg.py文件，然后在接口ip处填写对应端口进行识别，并选取使用插件(爆破的时候使用的意思)

6.开始爆破(中间省略的几步和上面那个fakeip是一样的)

7.资源池设置(这里一定把并发请求数改成1，因为验证码每次刷新都是不一样的，一次我们只发送一个请求)

8.攻击

总结

这篇文章真的花了小编很多很多心思。从每个板块的基本使用，到实战的进阶篇，希望你能有所收获！还有就是小编也是新手，有不完整的地方很抱歉，下一次会改正的！

最后

感谢大家能够看完我的文章，小弟在这里也不虚头八脑的的去推销什么，就单纯给个工具(真心话，不是什么广告，能看到这里的也能看出来我的文章算是比较简练有效的。。)

就是分享给你们一个网络安全领域里面巨好用的windows系统(不好用直接评论区骂我无所谓的，真)

它比较适合新手小白，里面集成了大量的渗透工具，从漏洞扫描，抓包，反弹webshell，逆向等工具都有，好不好用试一试就知道了，下面是它的图片(左边有东西就不好透露啦，工具真的有很多，而且自带python，java等环境，不会有人现在还在自己花大量的时间配置把，里面还内嵌了kali，是的你没听错，一个系统在手，安全领域我有~

精简界面

海量工具

浏览器自带各种插件

下面是链接

我用夸克网盘分享了「你想要的都在这」，点击链接即可保存。打开「夸克APP」，无需下载在线播放视频，畅享原画5倍速，支持电视投屏。 链接：夸克网盘分享 提取码：kjxd