当前位置：首页 > article >正文

04 burpsuite的使用

article 2025/2/25 5:58:10

本笔记中的视频截图，来自哔哩哔哩的公开视频，如果有侵权，请联系删除文章

模块总览

1.1

User option 使用burpsuite时候有时候会遇见鼠标错位或者不能显示中文的情况，可以在 user option——display——Http message display中设置楷体16pt

1.2Dashboard（用户界面）

Live passive crawl from Proxy（all traffic）：对所有经过的流量进行爬虫

Live audit From Proxy(all traffic):对所有经过的流量进行审计

Event log：日志界面

lssue activity：问题活动界面

1.3Target（）

1.4 proxy代理模块

1.5intruder（爆破模块）

用于自动对web应用程序自定义攻击，他可以用来自动执行测试过程中可能出现的所有类型的任务。例如：目标爆破，注入，密码爆破（弱口令爆破）等.

Sniper:狙击手模式，将一组攻击载荷分别在每一个位置上逐个放入单个payload测试，比如字典里有五个payload，在请求模板上定义了两个payload位置，在修改时会把这五个payload分别放入第一个位置，再分别放入第二个位置，最后产生十个版本的请求。

Battering ram:攻城锤模式，遍历一组有效载荷，在所有定义的位置上放入同·个载荷。同样是五个payload，两个位置，那一共会有五个版本的修改请求，每个版本的请求的两个位置上是同样的payload。——简单举例（用户名和密码）就是选中的两个地方，但是通过攻坚锤模式：但是两个地方都是使用的同一个字典

Pitchfork:草又模式，每一个变量对应一个字典。特点:爆破次数取决于变量少的字典。使用多组有效载荷，每个定义的位置使用一组不同的有效载荷。举个例子，两个位置、两组攻击载荷分别有5个payload，第一次攻击将第一组的第一个payload放入与第一组对应的位置，将第二组第一个payload放入与第二组对应的位置;第二次攻击将第一组第二个payload放入相应位置，将第二组第二个payload放入对应位置，共产生五次攻击。

Cluster bomb:集束炸弹模式:组合爆破，每个变量对应一个字典，并交集爆破。特点:爆破次数为字典1x字典2。与Pitchfofrk不同的是，攻击时，第一个位置放入第一组的第一个payload然后在第二个位置遍历第二组中所有的payload，然后第一个位置再放入第一组的第二个payload，第二个位置同样再遍历一次第二组的所有payload，一直下去，一共发起了5*5=25次攻击请求。

Options
Request Headers :
UPdate content-Length header是必选的，因为payload的长度是变化的，所以勾选上这个选项更新或添加每一次请求的content-Length请求头，否则就是错误的请求。
Set Connection:close为请求更新或添加请求头Connection值为close，这是为了避免和服务器进行长连接，在得到一次响应后就自动关闭连接，因为还有好多版本的请求等着呢，这样可以加快攻击速度。