1. BurpSuite是什么为什么Web安全测试离不开它第一次接触BurpSuite是在2014年的一次渗透测试项目中当时我连HTTP请求报文都看不明白却要用这个大杀器找出网站漏洞。现在回想起来BurpSuite就像安全工程师的瑞士军刀——它不仅能拦截HTTP流量还能扫描漏洞、暴力破解、重放请求几乎所有Web安全测试场景都能胜任。简单来说BurpSuite是一个集成化Web安全测试平台由PortSwigger公司开发。它通过中间人代理的方式让我们能够查看和修改浏览器与服务器之间的所有通信。想象一下邮局拆阅信件的场景BurpSuite就是那个可以拆开信封、修改内容再重新封装的特殊邮差。为什么建议从BurpSuite入门Web安全我总结三个原因可视化操作不需要记忆复杂命令所有操作都有图形界面功能完整从信息收集到漏洞利用完整覆盖测试流程社区支持遇到问题很容易找到解决方案我电脑里现在还存着2016年整理的常见错误解决文档2. 环境准备10分钟搞定BurpSuite全家桶2.1 安装与配置避坑指南去年帮团队新人配置环境时我发现90%的初学者的第一个坎儿居然是Java环境。BurpSuite基于Java开发需要JRE 1.8以上版本。这里分享我的检查清单# 检查Java版本 java -version # 预期输出类似java version 1.8.0_301如果报错或版本过低建议直接安装Oracle JDK注意区分64位/32位。我习惯将BurpSuite放在D:\Tools目录下因为路径包含中文或空格可能导致奇怪的问题。启动时如果遇到内存不足可以修改启动脚本Windows下是burpsuite.batecho off java -Xmx2048m -jar burpsuite.jar2.2 浏览器代理设置实战Chrome和Firefox的设置略有不同。以Firefox为例进入选项→常规→网络设置选择手动代理配置输入HTTP代理127.0.0.1端口8080务必勾选也为HTTPS使用此代理常见问题排查表现象可能原因解决方案无法访问网页代理未关闭测试完成后关闭代理HTTPS网站报错证书未安装访问http://burp安装证书拦截不到流量浏览器插件冲突禁用VPN类插件3. 核心功能实战从抓包到漏洞挖掘3.1 拦截修改HTTP请求按下CtrlR启动拦截后试着登录任意网站。你会看到类似这样的请求POST /login HTTP/1.1 Host: example.com Content-Type: application/x-www-form-urlencoded usernametestpassword123456这时候可以修改password参数尝试弱口令添加X-Forwarded-For: 127.0.0.1头绕过IP限制把POST改为GET测试HTTP方法处理不当去年在某次授权测试中我就是通过修改user_id1这个参数发现了垂直越权漏洞。3.2 重放攻击(Repeater)实战把拦截到的请求发送到Repeater模块这是我用得最频繁的功能。举个例子拦截获取用户信息的请求GET /api/user?id1修改id值为2测试SQL注入观察返回结果是否包含数据库错误有个实用技巧右键请求选择Send to Repeater时按住Shift键可以自动复制所有请求头。4. 进阶技巧安全测试工程师的私房菜4.1 扫描器配置优化Burp Scanner默认配置可能会漏报建议调整爬虫选项卡设置最大深度为5审计选项卡勾选所有漏洞类型优化选项卡设置线程数为10根据网络状况调整对于关键系统我会启用主动扫描模式中的彻底选项虽然耗时较长但检出率能提升30%左右。4.2 Macros自动化实战遇到需要登录的场景可以录制登录宏进入Project options→Sessions→Macros点击Add录制登录过程在Session Handling Rules中应用该宏这样即使会话过期Burp也能自动重新登录。上周用这个技巧成功绕过了某金融系统的反爬机制。5. 常见问题解决方案5.1 HTTPS证书问题最新版Burp已经简化了证书安装流程浏览器访问http://burp点击CA Certificate下载证书在系统证书管理器导入并信任如果遇到证书无效警告检查系统时间是否正确。有次团队小伙儿折腾两小时最后发现是电脑日期设错了年份。5.2 拦截不到APP流量测试移动应用时需要电脑和手机连接同一WiFi手机设置手动代理指向电脑IP在Burp的Proxy→Options添加监听地址0.0.0.0:8080记得测试完成后改回自动代理我有次忘改设置导致地铁上不了网。
BurpSuite实战入门：从零开始掌握Web安全测试
1. BurpSuite是什么为什么Web安全测试离不开它第一次接触BurpSuite是在2014年的一次渗透测试项目中当时我连HTTP请求报文都看不明白却要用这个大杀器找出网站漏洞。现在回想起来BurpSuite就像安全工程师的瑞士军刀——它不仅能拦截HTTP流量还能扫描漏洞、暴力破解、重放请求几乎所有Web安全测试场景都能胜任。简单来说BurpSuite是一个集成化Web安全测试平台由PortSwigger公司开发。它通过中间人代理的方式让我们能够查看和修改浏览器与服务器之间的所有通信。想象一下邮局拆阅信件的场景BurpSuite就是那个可以拆开信封、修改内容再重新封装的特殊邮差。为什么建议从BurpSuite入门Web安全我总结三个原因可视化操作不需要记忆复杂命令所有操作都有图形界面功能完整从信息收集到漏洞利用完整覆盖测试流程社区支持遇到问题很容易找到解决方案我电脑里现在还存着2016年整理的常见错误解决文档2. 环境准备10分钟搞定BurpSuite全家桶2.1 安装与配置避坑指南去年帮团队新人配置环境时我发现90%的初学者的第一个坎儿居然是Java环境。BurpSuite基于Java开发需要JRE 1.8以上版本。这里分享我的检查清单# 检查Java版本 java -version # 预期输出类似java version 1.8.0_301如果报错或版本过低建议直接安装Oracle JDK注意区分64位/32位。我习惯将BurpSuite放在D:\Tools目录下因为路径包含中文或空格可能导致奇怪的问题。启动时如果遇到内存不足可以修改启动脚本Windows下是burpsuite.batecho off java -Xmx2048m -jar burpsuite.jar2.2 浏览器代理设置实战Chrome和Firefox的设置略有不同。以Firefox为例进入选项→常规→网络设置选择手动代理配置输入HTTP代理127.0.0.1端口8080务必勾选也为HTTPS使用此代理常见问题排查表现象可能原因解决方案无法访问网页代理未关闭测试完成后关闭代理HTTPS网站报错证书未安装访问http://burp安装证书拦截不到流量浏览器插件冲突禁用VPN类插件3. 核心功能实战从抓包到漏洞挖掘3.1 拦截修改HTTP请求按下CtrlR启动拦截后试着登录任意网站。你会看到类似这样的请求POST /login HTTP/1.1 Host: example.com Content-Type: application/x-www-form-urlencoded usernametestpassword123456这时候可以修改password参数尝试弱口令添加X-Forwarded-For: 127.0.0.1头绕过IP限制把POST改为GET测试HTTP方法处理不当去年在某次授权测试中我就是通过修改user_id1这个参数发现了垂直越权漏洞。3.2 重放攻击(Repeater)实战把拦截到的请求发送到Repeater模块这是我用得最频繁的功能。举个例子拦截获取用户信息的请求GET /api/user?id1修改id值为2测试SQL注入观察返回结果是否包含数据库错误有个实用技巧右键请求选择Send to Repeater时按住Shift键可以自动复制所有请求头。4. 进阶技巧安全测试工程师的私房菜4.1 扫描器配置优化Burp Scanner默认配置可能会漏报建议调整爬虫选项卡设置最大深度为5审计选项卡勾选所有漏洞类型优化选项卡设置线程数为10根据网络状况调整对于关键系统我会启用主动扫描模式中的彻底选项虽然耗时较长但检出率能提升30%左右。4.2 Macros自动化实战遇到需要登录的场景可以录制登录宏进入Project options→Sessions→Macros点击Add录制登录过程在Session Handling Rules中应用该宏这样即使会话过期Burp也能自动重新登录。上周用这个技巧成功绕过了某金融系统的反爬机制。5. 常见问题解决方案5.1 HTTPS证书问题最新版Burp已经简化了证书安装流程浏览器访问http://burp点击CA Certificate下载证书在系统证书管理器导入并信任如果遇到证书无效警告检查系统时间是否正确。有次团队小伙儿折腾两小时最后发现是电脑日期设错了年份。5.2 拦截不到APP流量测试移动应用时需要电脑和手机连接同一WiFi手机设置手动代理指向电脑IP在Burp的Proxy→Options添加监听地址0.0.0.0:8080记得测试完成后改回自动代理我有次忘改设置导致地铁上不了网。
