burp安装与基础
--- 下一步的意思
Spider(蜘蛛) 括号里的都是前英文的注释.写了很久的英文翻译都有注释
burp suite是集成工具
burp安装分3步
1.java安装
java官网下载
2.环境变配置
复制JAVA路径---此电脑---属性---高级设置---环境变量---系统变量---新建变量---变量名:JAVA_HOME---粘贴路径---确定---打开java---bin目录复制---系统变量---Path---编辑---新建---粘贴,确定即可
打开cmd-执行javac----出现目录,证明环境配置完成
3.下载burp
去官网下载burp免费版,有两种exe和zir版本
以及破解版
4.运行burp
burp基础使用
一.设置代理,以火狐为例
1.打开菜单---选项---常规---网络代理---设置---手动配置代理---127.0.0.1---端口8080
2.proxy(代理)---intercept is off(抓包开启)---刷新提交网页---抓包成功
二.proxy代理解释
A本机访问--百度
B百度接收你的访问反馈页面
burp 在A和B的中间截取你的数据包 ,可以直接发送,也可以修改后进行发送.
例如:A输入xxx访问B,burp抓取A数据包进行修改该成XXB在发给B,这时B返回XXB给A.
Forward:放包
放行修改后的数据
Rrop:废包
抓取来的包直接丢弃,目标服务器不会返还信息
Action:行动
把你抓取的封包发送给其它选项列,与右键相同
RAW以文本形式显示数据包(二进制的)
数据包里有什么:GET,HOST地址,版本等信息.
参数(params)
参数:类型.名.值
参数:URL.id.1
headers(头)
列出有哪些数据包的包头
Hex
hex是16进制的
凌琳截断时候比较好
三.Spider(蜘蛛)
spider的蜘蛛爬行功能可以帮助我们了解系统的架构,其中蜘蛛爬取到的内容在target目标汇总展示.目标左测为一个主机的目录图,可以查看请求和响应.
蜘蛛爬行需要关闭proxy拦截请求---sqpider---运行---火狐选择目标站点并点击---Target就会显示出站点层级
四.Decoder(编码格式)
这里可以解码选择格式
burp进阶
1.scannner(扫描器)
scannner主要用于自动检测web系统的各种漏洞。实际使用可能会有所改变
扫描器里分为：issue activity(问题活动)，scan queue(扫描列队)，Live scanning,实时扫描，issue definition（问题定义）,options活动
1.浏览器打开burp代理
2.burp关闭拦截
intercept is off
3.浏览器中浏览页面
4.发送到扫描器中扫描
burp---Target---对应目录---右键---Activexxx---下一步---下一步---ok
扫描器(scnner)---scan queue(扫描列队)---Host(主机)---URL---Status(状态)---lssues(问题个数)---requests(请求数)---requests(错误数)---insertion points(插入点)---start time(开始时间)---end time结束时间---评论
issue activity(问题活动)---issue type(问题类型)
5.导出扫描报告
1.1 Active Scannnig(主动扫描)
当主动扫描发送新请求并通过paylosd验证漏洞
更适用以下两类漏洞
1.客户端漏洞，如xss,http头注入，操作重定向等
2.服务端漏洞，如sql注入，命令行注入，文件遍历等，
1.2 Passivs Scannning(被动扫描)
当被动扫描的时候，burp不会重新发送新的请求，只是对一存在请求和应答分析，对服务端检测来说比较安全
通常适用于生产环境的检测，一般来说一下漏洞在被动扫描模式下容易被检测出来：
1.提交的密码为未加密的铭文
2.不安全的cookie的属性，例如确实的httponly和安全标志。
3.cookie的范围缺失、
4.跨域脚本包含和站点引用泄露、
5.表单值自动填充，尤其是密码、
6.ssl保护的内容缓存。
7.目录列表
8.提交密码后应答延迟
9.Session令牌的不安全传输
10. 敏感信息泄露，例如内部ip地址、电子邮件地址、队栈跟踪信息泄露。
11.不安全的viewstate的配置
12.错误或不会烦的content-type指令
2. Intruder(测试器)经常用到暴力破解
intruder子级分为：Target目标，positons位置，payloads有效载荷，options选项
intruder是一个高度可配置工具，对web应用进行自动化攻击，如果通过标识符枚举用户名、id和账户号码，模糊测试，sql注入，跨站，目录遍历等
演示暴力破解无验证码和次数限制的网站方法
1.抓包
2.发送到测试器中
抓包后发送intruder---positons---Arrack type(选择攻击方法)---Ciear$(清楚标记)---需要破解的地方标记Add$(添加标记)---payloads有效载荷---配置字典
3.清楚标记
4.设置标记
5.添假字典
paste(粘贴)，load载入中，remove删除,clear清屏，add添加，ad from list从列表中添加----
6.开始爆破 右上角Start attack（开始攻击）
7.分析对错看状态码
测试器里的选择
2.1 sniper(狙击手)
单一的一组
2.2 battering ram（破城锤）
需要一组字典，一对一
2.3 pitchfork(音叉)
需要两组字典，每组字典中的一对应另一组
2.4 clusterbomb（集束炸弹）
需要两组字典，每组字典的账号，密码都会去匹配另一组的账号密码匹配到为止
3. Repeater重放器 经常被用到注入的地方
burp repeater是一个手动修改，补发个别HTTP请求，并分析他们的工具
1.拦截数据包
2.发送到重放器中
3.改包 改数据
4.发送 go
4. Sequencer(定序器)
Burp sequencer是一种用于分析数据样本随机性质的工具，可以用它来测试应用 程序的会话令牌。密码重置令牌是否可预测场景等
抓包一般情况下是proxy抓取封包后会发送Repeater里去修改重发
