大家好啊，我是大田。
今天分享一下 Burpsuite 在工作中常用操作，本文先说说其中两个操作。
一、了解一下 Burpsuite 做什么
1、Burpsuite 是一个黑客工具、安全测试工具、半自动化抓包、篡改信息。
2、他能做：代理工具 Proxy 、爬虫 Spider、暴力破解 Intruder、漏洞扫描 Scanner、重放请求 Repeater、附属工具 decode comparer、扩展定制 Extender。
3、测试人员最常用的功能就是：
假如要攻击服务器端，此时我们要篡改请求；
假如要攻击客户端，此时我们要篡改响应。
二、Burpsuite 运行需要的环境
1、JDK 配置安装、版本选择
方式1：Burpsuite 1.7.* —— java 8（本文用这个版本）
方式2：Burpsuite 2021 —— java 11
2、专业版本需要注册机，社区版本不需要
三、本文中 2 个常用操作
1、创建快捷启动方式
打开注册机
复制这段命令，写在记事本中，修改为 .bat 后缀名的批处理文件 runburpsuite.bat
为了不出现 DOS 黑窗口，创建一个以 vbs 后缀的文件 startburp.vbs，文件内容如下
Set ws = CreateObject("Wscript.Shell")ws.run "这里填写 runburpsuite.bat 的绝对路径".vbhide
鼠标右键将 startburp.vbs 发送桌面快捷方式，可以在桌面直接启动。
2、Burpsuite 爬行
1）新建爬行，编辑详情 scan details
2）爬行配置 scan configuration
这里一般是不需要做的
但是可以配置 user-agent
配置 user-agent 具体步骤如下：
f12，访问百度后，找出标头中的 user-agent 字段值
设置中配置，按下图指示做即可
3）应用登录 Application login
爬行中可以不设置这里的，了解一下就行。假如被测系统需要验证码，那么可以忽略这个功能。
4）资源池
一般不在上图的 Resource 中设置，因为new scan 右边有个小齿轮设置里会有默认的配置，如下图
点击设置新增后，发现这里有默认的资源池设置，我一般不做修改
5）保存 new scan 运行本次测试
new scan 里面配置好了之后，点击保存，burpsuite 就会运行了，如图所示。
例子 1：爬行演示
例子 2：爬行 + 审计演示，出现问题点圆框，右侧框是问题事件，展示这个任务下有多少问题点，问题会暴露出来。
出现 high medium这两类的问题点时，此时应该提 bug 了
面板中，我一般会将 high、medium、certain、firm 类的问题展示出来，如下图圈出来的
6）导出本次测试结果
下图可以选中某个任务（如任务 5）后，可以多选，右键导出本次运行结果，选择 html 的报告类型即可，一路 next，最后要选择要保存到的地址就 ok 了。
除了导出结果还可以右键选择一个问题高亮，提醒自己要和开发沟通处理的。
下面就是导出的报告
全文完，如果喜欢，就点个赞或者在看吧 ，转发、评论是对大田创作的最大支持~
我是大田，持续聚焦分享软件测试真实工作经验、职场经验、面试经验
网友评论