burp抓包

打开Burp Suite，抓包点开Proxy标签，抓包浏览器挂上代理，抓包访问一个HTTP站点，抓包请求立刻停在Repeater里。抓包这就是抓包抓包最直观的样子——数据在到达服务器之前，先经过你手里这道关卡。抓包我第一次用Burp抓自己写的抓包登录接口时，看到明文密码就那么躺在请求体里，抓包后背一阵发凉。抓包后来才知道，抓包那不过是抓包HTTP的日常。

Burp抓包的抓包本质是中间人。浏览器以为它在跟服务器说话，抓包其实它在跟Burp说话；服务器以为它在跟浏览器说话，抓包其实也是在跟Burp说话。Burp站在中间，把两边的话都记下来，还能改一改再转发。这跟电话窃听不一样，窃听只能听，Burp能插嘴。你可以在请求发出前把user_id=123改成user_id=1，也可以在响应返回前把"is_admin":false改成true。很多越权漏洞就是这么被挖出来的。

配置代理这一步经常卡住新手。浏览器插件SwitchyOmega、系统代理、Burp里的Proxy Listeners，三个地方要一致。端口默认8080，但有时候被占用了，换成8081也行。HTTPS站点会弹证书警告，得去http://burp下载CA证书，导入浏览器信任列表。这一步不做，抓到的全是乱码。我见过有人折腾一下午，最后发现是证书没装。

Proxy的Intercept功能默认是开着的，每个请求都会拦下来等你点Forward。调试的时候很烦，访问一个页面要按几十次。我习惯先关掉Intercept，让流量直接过，需要看哪个请求再去HTTP history里翻。History里按域名、方法、状态码过滤，比一个个点Forward高效得多。找到可疑请求，右键Send to Repeater，然后慢慢改参数重放。

Repeater是Burp里用得最多的模块。左边改请求，右边看响应，点Send就发一次。改Cookie、改Header、改Body，看服务器怎么反应。测SQL注入的时候，把单引号塞进参数，响应里冒出You have an error in your SQL syntax，基本就稳了。测XSS的时候，把<script>alert(1)</script>填进去，看它原样返回还是被转义。Repeater的好处是你可以反复试，不像浏览器刷新一次就丢了上下文。

Intruder用来爆破。把要猜的位置标上§符号，选攻击类型，加载字典，开跑。Sniper模式一次只改一个位置，Cluster bomb可以多个位置组合。跑登录接口的时候，用户名和密码两个§，字典一挂，看Length列哪个不一样。不过现在很多站点有验证码、有频率限制，Intruder跑起来没那么顺了。我一般先手工试几个弱口令，不行再上Intruder，省得被封IP。

抓包抓久了会发现，很多漏洞不需要多高深的技术。有人把管理接口藏在JS文件里，有人把数据库备份放在/backup.zip，有人用role=admin这种参数做权限控制。Burp只是帮你把这些东西翻出来。工具本身不厉害，厉害的是你知道该看哪里、该改什么。我见过一个站点，登录后返回的JSON里有个"is_vip":0，改成1再发回去，页面直接变成VIP。这种漏洞，扫描器扫不出来，得靠人盯着响应一处处看。

最后说一句，抓包只抓自己的站，或者有明确授权的站。没授权就去抓别人的，那不叫技术，叫找事。

很赞哦!（29）