burpsuite实战指南--如何使用burpsuite
https://blog.csdn.net/liweibin812/article/details/83650751
https://blog.csdn.net/weixin_38079422/article/details/80729158 很棒的一篇文章
1、设置代理
2、浏览器导入证书,也可以不导入
3、
Burp suite 自动扫描
首先看标红,intercept is on 为拦截状态 其对应的intercept is off 为非拦截状态,设置完代理后打开拦截状态,浏览器发起的请求会被burpsuite所拦截
forward: 进行请求后被拦截,点击forward可以继续此次请求,如果你点击drop则丢弃此请求数据。
继续请求后能够看到返回结果
1. Raw 这个视图主要显示web请求的raw格式,包含请求地址, http协议版本, 主机头, 浏览器信息,accept可接受的内容类型,字符集,编码方式,cookies等, 可以手动修改这些内容,然后在点击forward进行渗透测试
2. params 这个视图主要是显示客户端请求的参数信息,get或者post的参数,cookies参数,也可以修改
3.headers是头部信息和Raw其实差不多,展示更直观
4.Hex 这个试图显示Raw的二进制内容
注意: 默认情况下,BurpProxy只拦截请求的消息,普通的文件如css,js,图片是不会拦截的,当然,想拦截什么都可以设置,我们现在知道了怎么设置代理,怎么安装,怎么进行请求拦截,怎么修改请求发起的内容向服务端进行渗透,接下来我们学习一下怎么控制这些拦截
此时,选择需要做安全扫描的站点,右击,在弹窗中点击 Activity scan this host 在弹窗中可以选择把 js,gif,jpg,png,css等文件过滤掉
确认后,在Scanner--scan queue中可以看到扫描的进度,并且展示出issues的级别,burpsuite默认有4种级别,High、Medium、Low、Information,并且用不同的颜色区分。
可以将测试报告导出,可以以html的形式导出,选择某个站点--issues–report issuesfor this host
可以设置需要导出的报告包含的issue的级别等信息。
打开报告可看到详细信息。(见附件)
原文地址:https://www.cnblogs.com/jenny-jenny/p/12151682.html