BurpSuite 工具 - 功能介绍

最新推荐文章于 2025-06-18 17:32:28 发布

慕云LL

最新推荐文章于 2025-06-18 17:32:28 发布

阅读量2.6k

点赞数 39

CC 4.0 BY-SA版权

文章标签：安全 web安全笔记

本文链接：https://blog.csdn.net/qq_49120918/article/details/144042634

BurpSuite 简介

‌Burp Suite‌是由PortSwigger开发的一款集成化的Web应用安全检测工具，广泛应用于Web应用进行漏洞扫描和攻击模拟。

BurpSuite 功能介绍

‌Proxy‌：拦截HTTP/S的代理服务器，允许用户拦截、查看、修改浏览器和目标应用程序之间的原始数据流‌。
‌Spider‌：智能感应的网络爬虫，用于枚举应用程序的内容和功能‌。
‌Scanner‌（仅限专业版）：自动发现web应用程序的安全漏洞‌。
‌Intruder‌：高度可配置的工具，用于自动化攻击，如枚举标识符、收集数据等‌。
‌Repeater‌：手动操作工具，用于补发单独的HTTP请求并分析应用程序响应‌。
‌Sequencer‌：分析应用程序会话令牌和重要数据项的随机性‌。
‌Decoder‌：手动或自动解码应用程序数据‌。
‌Comparer‌：比较两个请求或响应包的可视化差异工具‌。

Target 功能

该功能它用于定义和管理测试目标。可以添加、删除和编辑目标网站的相关信息，包括目标的范围(如特定的 URL路径范围)、目标的状态(是否正在测试等)等。

应用场景：在对多个 Web 应用程序或者一个大型 Web 应用程序的不同模块进行测试时，通过 Target 组件可以有效地组织和区分不同的测试目标，确保测试工作的系统性和针对性。例如，在一个企业级应用中，不同的子系统可能有不同的安全要求，通过 Target 可以分别定义这些子系统为不同的目标进行独立测试。

Proxy 功能

该功能是 Burp Suite 的核心功能之一。通过配置浏览器或其他客户端使用 Burp Suite 的代理服务器，它能够拦截并查看客户端和服务器之间传输的 HTTP/S 请求和响应。

例如，当你在浏览器中访问一个网站时，请求会先被 BurPSuite 的代理捕获。这使得安全测试人员可以查看请求中的详细信息，如请求方法(GET、POST等)、URL、请求头(包含如 User-Agent、Cookie 等重要信息)和请求体(对于 POST请求等包含提交的数据)。同时，也能查看服务器返回的响应，包括响应状态码、响应头和响应体。可以对这些请求和响应进行修改后再转发，这对于测试输入验证、SQL注入、跨站脚本攻击(XSS)等洞非常有用。比如，在测试 SQL注入时，可以在请求的参数中修改数据，看服务器是否会执行恶意的 SQL语句。

Proxy 功能模块下有四大功能：Intercept（拦截）、HTTP history（HTTP历史）、WebSockets hostory（WebSockets历史）、Options（选项）。

Intercept

Forward ：针对通过代理的流量是否进行发送。

Drop：针对通过代理的流量是否进行丢弃。

Intercept on/off：针对通过代理的流量是否进行拦截。Intercept on 拦截流量，Intercept off 不拦截流量。

action：多功能选项。可以将拦截到的数据包发送到其他模块，如：Repeater（中继器）重放模块。

Open Browser：打开自带浏览器，默认设置了代理。

HTTP history

设置代理后，访问http的所有流量都可以在 HTTP history 功能中找到对应的数据包。

WebSockets hostory

设置代理后，访问 WebSockets 的所有流量都可以在 WebSockets history 功能中找到对应的数据包。

Options

该功能主要用于设置代理，以及设置客户端请求数据包和服务响应的数据包。

Spider 功能

可以将访问主体的内容放到爬虫功能，其就会自动根据web应用程序的内容和功能，从第一个起始URL开始爬取数据，不断递归搜索链接和表单内容。当然，用户可以用工具自己搜搜的内容进行爬取。

该功能用于自动发现 Web 应用程序的内容和功能，它会从一个起始 URL开始，像一个真正的搜索引擘爬虫一样，递归地搜索链接、表单等内容。

例如，如果你给它一个网站的首页 URL，它会顺着页面中的链接去访问其他页面，并且能够识别表单提交的目标 URL，从而发现更多的页面路径。这有助于安全测试人员全面了解应用程序的结构，确保不会遗漏任何可能存在漏洞的页面。可以根据自定义的规则进行爬行，如限制爬行的深度、范围等，以更好地适应不同的测试场量。

Intruder 功能

该模块功能允许安全测试人员通过配置攻击载荷来对目标进行攻击。主要攻击模式：

Sniper
Battering ram
Pitchfork
Cluster bomb

Repeater 功能

该功能主要用于手动修改和重新发送单个请求。安全测试人员可以在 Repeater 中获取从代理拦截的请求，或者自己手动构建请求。

例如，当发现一个可疑的请求时，可以将其发送到 Repeater 中，然后对请求中的参数进行修改，如修改一个用户 ID 参数的值，再次发送请求，观察服务器的不同响应，从而判断该参数是否存在安全风险，如越权访问等问题。

Sequencer 功能

该模块主要用于分析应用程序会话令牌(SessionTokens)或其他重要数据的随机性和可预测性。它通过收集和分析大量的令牌样本，来评估这些数据是否足够安全。

应用场景：例如，对于一个基于会话的 Web 应用程序，通过 Sequencer 来检查会话令牌是否是随机生成的，还是存在可预测的模式。如果令牌是可预测的，那么攻击者就有可能劫持其他用户的会话，从而获取非法访问权限。它可以帮助发现如会话固定、令牌预测等安全隐患。

Decoder 功能

该功能主要是一个加密和解密功能。用户可以根据需求对输入的文本，进行加解密操作。下面的例子是 123 通过HTML加密得到的值：123

Comparer 功能

该功能用于比较两个不同的请求、响应或者其他数据之间的差异。用户可以使用本地的响应包数据粘贴到该模块，可以选择需要比较的响应包右键 send Compare 发送到该模块。这功能在渗透测试中非常重要，例如：当你修改了一个请求参数并重新发送后，可以使用 Comparer 来查看响应内容与原始响应有哪些不同之处。

应用场景：比如在测试文件上传功能时，比较正常文件上传和恶意文件上传(如包含恶意脚本的文件)后的服务器响应差异，以此来判断是否存在安全漏洞。它可以比较的数据包括 HTTP 消息头、消息体、XML数据、JSON 数据等多种格式。