Burp Suite是一個用於測試Web應用程序安全性的圖形工具。該工具使用Java編寫，由PortSwigger Security開發。
該工具有兩個版本。可免費下載的免費版（免費版）和試用期後可購買的完整版（專業版）。免費版本功能顯着降低。它的開發旨在爲Web應用程序安全檢查提供全面的解決方案。除了基本功能，如代理服務器，掃描儀和入侵者，該工具還包含更多高級選項，如蜘蛛，轉發器，解碼器，比較器，擴展器和音序器。
Burp套件背後的公司還開發了一個移動應用程序，其中包含與iOS 8及更高版本兼容的類似工具。
工具
HTTP代理(proxy) - 它作爲Web代理服務器運行，並且作爲瀏覽器和目標Web服務器之間的中間人。這允許攔截，檢查和修改在兩個方向上傳遞的原始業務。
掃描程序Scanner) - 一種Web應用程序安全掃描程序，用於執行Web應用程序的自動漏洞掃描。
入侵者(Intruder) - 此工具可以對Web應用程序執行自動攻擊。該工具提供了可配置的算法，可以生成惡意HTTP請求。入侵者工具可以測試和檢測SQL注入，跨站點腳本，參數操作和易受暴力攻擊的漏洞。
Spider(爬蟲) - 用於自動抓取Web應用程序的工具。它可以與手動映射技術結合使用，以加快映射應用程序內容和功能的過程。
中繼器(Repeater) - 一種可用於手動測試應用程序的簡單工具。它可用於修改對服務器的請求，重新發送它們並觀察結果。
解碼器(Decoder) - 用於將編碼數據轉換爲規範形式，或將原始數據轉換爲各種編碼和散列形式的工具。它能夠使用啓發式技術智能地識別多種編碼格式。
比較(Comparer) - 用於在任意兩項數據之間執行比較（視覺“差異”）的工具。
擴展器 - 允許安全測試人員加載Burp擴展，使用安全測試人員自己或第三方代碼擴展Burp的功能（BAppStore）
擴展器(Extender) - 允許安全測試人員加載Burp擴展，使用安全測試人員自己或第三方代碼擴展Burp的功能（BAppStore）
序列(Sequencer) - 用於分析數據項樣本中隨機性質的工具。它可用於測試應用程序的會話令牌或其他意圖不可預測的重要數據項，例如反CSRF令牌，密碼重置令牌等。
開始實驗:
安裝:
首先下載java編譯器:https://www.oracle.com/technetwork/java/javase/downloads/index.html
然後下載hurp破解版:鏈接：https://pan.baidu.com/s/1NKXkbP97s1lG86Qzf1YTFw
提取碼：r969
安裝完成之後,我們開始第一個實驗:
1,使用Burpsuite作爲代理服務器攔截轉發目標瀏覽器向服務端發送的HTTP請求
(1),首先我們需要設置字體爲中文(否則會出現亂碼現象),設置中文之後亂碼會少一些…
(2),查看burp上面代理的配置情況(注意在Running那個選項下面勾選對號表示開啓監聽本地8080端口,注意勾選上)
可以在下面的Match and Replace設置用戶代理的信息,一方面爲了隱藏自己的瀏覽器,另一方面可以通過勾選指定選項,去訪問那些需要指定的瀏覽器纔可以訪問的網站
(3),開啓截斷模式(注意第三步爲Intercapt is on表示已開啓截斷模式,爲Intercapt is off表示截斷模式關閉)
(4)在瀏覽器中設置代理服務器爲Burpsuite(注意瀏覽器中設置的IP地址和端口與Burpsuite中監聽的地址和端口需要一致
(5)在瀏覽器中輸入一個地址,便可以在Burpsuite中查看到數據包的具體信息(如果發現不是自己向發出的數據包,則將包丟棄),下圖爲所要發送的HTTP數據包,那麼點擊Forward(轉發)即使用該數據包去訪問www.taobao.com這個域名的WEB服務器.當然也可以直接修改數據包信息,這個我們後面講.
(6)經過Burpsuite將數據包轉發之後,就可以在瀏覽器中看到自己需要去訪問的網站啦
實驗二:使用Burpsuite抓取HTTPS數據包
1,首先需要安裝CA證書
HTTPS協議是爲了數據傳輸安全的需要，在HTTP原有的基礎上，加入了安全套接字層SSL協議，SSL/TLS協議運行機制的概述,通過CA證書來驗證服務器的身份，並對通信消息進行加密。基於HTTPS協議這些特性，我們在使用Burp Proxy代理時，需要增加更多的設置，才能攔截HTTPS的消息。
我們都知道，在HTTPS通信過程中，一個很重要的介質是CA證書，下面就我們一起來看看Burp Suite中CA證書的安裝。
CA證書的安裝
在kali linux下進行,因爲windows下安裝的burp是破解版,無法獲取CA證書
1,配置瀏覽器代理(Firefox)
選項–常規–網絡代理–手動設置配置,保存然後在終端輸入burpsuite即可打開burpsuite
注意勾選下面的使用代理服務器對於所有的協議,然後點OK.
2, 在Burp運行時，在瀏覽器中訪問http：// burp並單擊“CA Certificate”鏈接以下載並保存您的Burp CA證書。記下保存Burp CA證書的位置。
3,在Firefox中打開Firefox菜單。單擊“首選項Preferences
4,選擇“認證Authorities”選項卡單擊“導入import”，選擇先前保存的Burp CA證書文件，然後單擊“打開”。在彈出的對話框中，選中“信任此CA以識別網站”框，然後單擊“確定”。關閉所有對話框並重新啓動Firefox。如果一切正常，您現在應該可以通過Burp訪問任何HTTPS URL而無需任何安全警告。
導入CA證書
使用該證書
5,那麼此時使用Burpsuite作爲代理服務器的時候就不會出現不信任的網站的告警信息啦,點擊轉發即可
