| 介绍 安装 要求： Java 的 V1.5 + 安装（推荐使用最新的 JRE ）。 入门： 安装完成后可以双击可执行的 JAR 文件，如果不工作，你可以运行在命令提示符或终端输入。 命令: Java –jar burpsuite_v1.4.jar Burp Suite包含了一系列burp工具，这些工具之间有大量接口可以互相通信，之所以 这样设计的目的是为了促进和提高 整个攻击的效率。平台中所有工具共享同一 robust 框 架，以便统一处理HTTP 请求，持久性，认证，上游代理，日志记录，报警和可扩展性。Burp Suite允许攻击者结合手工和自动技术去枚举、分析、攻击Web应用程序。这些不同的burp 工具通过协同工作，有效的分享信息，支持以某种工具中的信 息为基础供另一种工具使用 的方式发起攻击 Proxy 提供一个直观、友好的用户界面，他的代理服务器包含非常详细的拦截规则， 并能准确分析HTTP消息的结构与内容。 Spide 爬行蜘蛛工具，可以用来抓取目标网站，以显示网站的内容，基本结构，和其 他功能。 Scanner: Web 应用程序的安全漏洞进行自动发现工具。它被设计用于渗透测试，并密 切与您现有的技术和方法，以适应执行手动和半自动化的Web应用程序渗透测试。 Repeater 可让您手动重新发送单个HTTP 请求。 Intruder 是 burp 套件的优势,他提供一组特别有用的功能。它可以自动实施各种定制 攻击，包括资源枚举、数据提取、模糊测试等常见漏洞等。在各种有效的扫描工具中，它能 够以最细化、最简单的方式访问它生产的请求与响应，允许组合利用个人智能与该工具的控 制优点。 Sequencer 对会话令牌，会话标识符或其他出于安全原因需要随机产生的键值的可预测 性进行分析。 Decoder 转化成规范的形式编码数据，或转化成各种形式编码和散列的原始数据。它能 够智能识别多种编码格式，使用启发式技术。 Comparer: 是一个简单的工具，执行比较数据之间的任何两个项目（一个可视化的“差 异”）。在攻击一个Web应用程序的情况下，这一要求通常会出现当你想快速识别两个应用程 序的响应之间的差异（例如，入侵者攻击的过程中收到的两种反应之间之间，或登录失败的 反应使用有效的和无效的用户名）之间，或两个应用程序请求（例如，确定不同的行为引起 不同的请求参数）。 配置 打开 Burp套件，配置监听端口  一旦代理端口选择和服务在 burp 套件开始，我们需要配置我们的浏览器。在大多数浏 览器，你只需打开设置-网络-代理，然后告诉它使用“localhost”和端口“8080”（或任 何您正在运行的端口，默认Burp： 8080）。然后保存更新的设置. 现在我们可以再浏览器中输入我们要检查的网站。你会看到 burp 套件工具，proxy 选 项卡上会亮起红色，表示它需要你的输入。默认行为是拦截设置为ON，这意味着它捕获的 所有发送请求，然后要求用户输入，以决定是否数据包将被转发或丢弃。你可以转发， 并观看页面载入目标网站。如果你嫌麻烦那你可以INTECEPTOR Off，只是手动抓取的网站， 将捕获的数据发送到“历史记录”选项卡，你可以手动检查审查和测试。  关掉拦截你在历史记录里面会看到所有提交过的数据，在这里你可以看到所有 request 和response的数据。现在，我们可以右键进行其他的测试。  intruder 定制攻击自动化 今天我将利用 DVWA 的 SQL 注入进行测试。你可以看到下面的图片，SQL 注入很简单， 我们测试：  我们需要捕捉用户 ID 请求，点击提交按钮，抓取数据包后，用有效载荷测试用户输入 的ID值。 要做到这一点，我们必须确保，Burp 拦截我们的要求：  将提交用户ID的请求，并发送到intruder你可以看到下面：  |
