Burpsuite簡介
Burp Suite 是一款專業的Web和移動應用程式滲透測試工具，是用於攻擊web 應用程式的整合平臺，包含了許多工具。Burp Suite為這些工具設計了許多介面，以加快攻擊應用程式的過程。所有工具都共享一個請求，並能處理對應的HTTP 訊息、永續性、認證、代理、日誌、警報。
Burpsuite的安裝與配置
一、安裝準備工作
1.官網提供三款：企業版、專業版（推薦）、社群版
2.專業版官網下載Burpsuite
地址：https://portswigger.net/burp/pro
這個軟體從頭到位都比較拽，下載必須用企業郵箱註冊，沒有辦法完美破解，解除安裝只需要1秒鐘。企業版和專業版一個價格$399，但是專業版功能最全，社群版就是鬧著玩的，企業版功能模組較為特殊，沒有代表性，不做演示（主要是對於個人來講不划算）。因為BurpSuit是基於Java語言的，所以電腦上必須安裝jdk，並且是1.8及以上的，推薦jdk1.9。
PS：本人支援正版，建議購買正版！！！已經購買的請從Burpsuite的模組介紹開始閱讀，其他情況的同志請接著往下看。軟體有風險，儘量在虛擬機器上安裝。
二、正式安裝
1.點選exe檔案安裝，正常下一步即可；
2.下載破解jar包
3.右擊burp-loader-keygen.jar選擇以Java(TM) Platfprm SE binary方式開啟，在下圖處隨便輸入，無所謂輸入啥；
4.點選run即可執行Burp Suite Pro
5.如果點選run沒成功的，可以嘗試升級JDK版本，不想的話可以win+R開啟執行，輸入cmd開啟dos命令視窗；
6.進入burp-loader-keygen.jar所在的目錄然後執行下面這個命令：
java -Xbootclasspath/p:burp-loader-keygen.jar -jar burpsuite_pro_v1.7.37.jar
7.等著啟動Burp Suite，如果有警告，不用搭理，繼續即可；
8.進入這個頁面後，將第5步Keygen中License複製貼上到這裡，然後點選next；
9.點選Manual activation,
10.到這個頁面後，點選Copy request，找到破解程式複製上去；
11.點選Copy request,複製到Activation Request裡面，將自動生成的Response內容複製出來
12.出現這樣就說明成功了；但是你下次登陸還得通過dos黑視窗開啟它；開啟試試吧。
13.建立個臨時專案看看
14.進入首頁看到抬頭8個功能模組了吧！這是Burp Suit的核心。
Burpsuite配置
一、代理配置
1.瀏覽器端設定：開啟火狐瀏覽器，點選選項-搜尋"代理"，按照下圖這個進行配置，我的埠8080是跑程式的，所以我把埠改成了8090，建議不要改就是預設的，因為Burp Suit就是預設的80；
PS：360等什麼瀏覽器的都行，重要的是不要用自帶的代理；以下是我用的火狐自帶的，我一會要把代理設定復原才能正常上網，建議安裝外掛，這樣就不用來回轉換了；
2.Burp Suite設定，建議你們不要改Port，我這裡被我改了8090，你們使用預設即可；將HTTPS選項勾上；
二、證照下載
1.其實目前這樣就已經可以攔截HTTP協議的網站了，但是不少網站的協議都是HTTPS，SSL是HTTPS的安全基礎，Burp Suite提供了這一塊的安全證照，我們只要下載安裝下就行了。
地址：https://burp/
沒出來的朋友不妨試試F12看看這個頁面原始碼；
2.證照下載好了，老規矩在選項中搜尋"證照"，將證照匯入證照頒發機構即可；
Burpsuite的模組介紹
1.Proxy
一個包含攔截HTTP/S的詳細規則的代理伺服器，扮演瀏覽器和目標應用程式之間的中間人角色，允許你攔截，檢視，篡改在兩個方向上的原始資料流，並能準確分析HTTP/S訊息的結構與內容。
2.Spide
爬蟲工具，可以用來抓取目標網站，以顯示網站的內容，基本結構，和其他功能。
3.Scanner
Web 應用程式的安全漏洞進行自動發現工具。它被設計用於滲透測試，並密切與您現有的技術和方法，以適應執行手動和半自動化的Web 應用程式滲透測試。--僅限專業版才有
4.Repeater
通過手動重新傳送單個HTTP/S請求以檢視伺服器回應
5.Intruder
burp套件的優勢,它提供一組特別有用的功能。它可以自動實施各種定製攻擊，包括資源列舉、資料提取、模糊測試等常見漏洞等。在各種有效的掃描工具中，它能夠以最細化、最簡單的方式訪問它生產的請求與響應，允許組合利用個人智慧與該工具的控制優點。
6.Sequencer
對會話令牌，會話識別符號或其他出於安全原因需要隨機產生的鍵值的可預測性進行分析。
7.Comparer
一個簡單的實用工具，執行比較資料之間的任何兩個專案（一個視覺化的"差異"）。在攻擊一個Web 應用程式的情況下，這一要求通常會出現當你想快速識別兩個應用程式的響應之間的差異之間，或兩個應用程式請求。
8.Decoder
一個進行手動執行或對應用程式資料智慧解碼編碼的工具。
Burpsuite快速入門
1.在瀏覽器中輸入一個網址，不要亂輸，找一個安全的靶子，或者自己本地啟一個專案，虛擬機器中就行攔截請求！！！
2.操作解讀:
-
首先輸入自己的網址，點選Intercept off,開啟攔截Intercept on;
-
Forward是指將這個被攔截請求發給伺服器，Drop是丟棄這個攔截
-
Action是指對這個攔截的請求進行操作，常用的是send to Repeater,就是更改請求的引數等操作，並檢視伺服器響應資訊；
3.這裡面是請求內容，Headers內容和這個相似，Hex是十六進位制的
4.在Action中嘗試send Repeater，可以修改左邊的請求內容進行檢測，右邊伺服器響應內容，可以進行請求頭攻擊，修改host地址，如果開發人員忽略這點伺服器就會繼續響應；可根據這點修改使用者訪問的URL，屬於中危漏洞！！
有空繼續更新吧，內容很多，切勿盲目操作，滲透學的好，牢飯吃的早！！！
注：本文僅供個人學習使用，切勿用於商業用途！！！