工具简介
Burp Suite是一个用于Web应用程序安全测试的集成平台。它提供了代理服务器、扫描器、入侵者、中继器等功能，是Web安全测试的标准工具。
主要功能
代理服务器
拦截和修改HTTP/HTTPS流量
扫描器
自动扫描Web应用漏洞
入侵者
自动化攻击和参数测试
中继器
手动发送和修改请求
基本用法
# 启动Burp Suite
burpsuite
# 配置浏览器代理
代理地址: 127.0.0.1
代理端口: 8080
# 安装证书
访问 http://burp/cert 下载并安装证书
# 开始拦截
在Burp Suite中启用拦截功能常用参数
| 参数 | 说明 |
|---|---|
| Target | 目标网站范围 |
| Proxy | 代理设置 |
| Scanner | 扫描配置 |
| Intruder | 攻击配置 |
| Repeater | 请求修改 |
使用示例
示例1：SQL注入测试
1. 拦截登录请求
2. 发送到Intruder
3. 设置参数标记
4. 添加SQL注入payload
5. 开始攻击使用Burp Suite进行SQL注入测试
示例2：XSS漏洞扫描
1. 设置目标范围
2. 配置扫描选项
3. 启动主动扫描
4. 分析扫描结果使用Burp Suite扫描XSS漏洞
安全提示
- 仅对授权的网站进行测试
- 注意保护测试数据的安全性
- 谨慎使用自动化扫描功能
- 遵守Web安全测试规范