Burpsuite Proxy代理功能

Proxy是Burp Suite的核心，通过代理模式，可以让我们拦截、查看、修改所有在客户端和服务端之间传输的数据。Burp Proxy可以用于拦截HTTP和HTTPS请求，它可以让我们查看请求和响应的详细信息，包括请求头、请求体、响应头、响应体等。此外，Burp Proxy还可以用于修改请求和响应，比如修改请求参数、修改Cookie、修改响应内容等。通过Burp Proxy，我们可以更好地理解Web应用程序的工作原理，发现应用程序中的漏洞，从而提高应用程序的安全性。

在owasp靶机里选择SQLi-Extract Data,然后选择末级。

输入一个不存在的账户和密码会返回一个报错信息：账号密码不存在。

我们通过web页面和服务器交互的时候，我们把数据包交给中间人Burpsuite，让Burpsuite将数据包拦截下来，让我分析。

通常都是8080，如果我们有多个监听端口或者多个服务的话，有可能发生冲突你就有必要修改它。如果没有其他的服务就用这个默认端口就可以了。

按照上图设置，然后点击确认。

kali自带火狐浏览器，在火狐浏览器里这样设置，如图：

这里设置把数据包丢给谁来代理，其他的不用管，设置好以后就可以点OK了。

拦截成功

最后一个Hex是16进制显示。

谷歌浏览器设置

进入设置页面-更改代理服务器设置

点击连接-局域网设置-填写代理服务器

如果过了墙的话也可以使用插件，以下两种都是火狐的插件，可以去应用商店里找。

代理回包出现乱码时，可能是字体出现问题。

点击HTTP history，这个是代理工具。每一个会话的请求和回应都拦截在这里。

回应的内容都以源码的方式展现。

可以直接在get里拦截到账号密码信息

首先随便在靶机上输入一个账号密码

然后在http的拦截报文中找到他

拦截post信息里的账号密码

这个需要打开靶机里的第二个站点，这个站点几乎和前一个站点一模一样。

这个页面已经帮我们记录了所有的数据包，把请求方法和报头内容源码显示出来了。如果数据包里包含了有价值的数据就会帮我们勾选出来。

点击params里已经将有价值的信息列举出来了，直接可以看到账号密码信息。

历史记录

高级玩法：代理设置

默认不拦截服务器返回的内容，勾选之后再测试则可以看到response返回

.

在每个模块里都可以修改Options