Burp Suite应用分享之Web漏洞扫描

简介: Burp Suite应用分享之Web漏洞扫描

随着Web2.0时代的来临,后又推向Web3.0,Web安全开始备受瞩目,对于白帽来说,测试时使用的工具越方便、全面、迅速越好。下面推荐一个工具Burp Suite,其功能包括HTTP包的截获及修改,扫描,网站爬行,爆破,注入检测等功能。下面就讲解一下Burp Suite的用法(大牛绕过)

Burp suite 是利用本地代理结果所传送的数据包,运行之前需要安装JAVA环境,当然网上转来转去的天花乱坠的教程很多,可是有用的地方很少,而有些人还在网上去卖这些工具的使用教程,实在无法忍受。
关于Burp suite 我准备分别对数据包截获修改,网站扫描,网站爆破,注入检测做分开讲解。
本次就来说一下Burp suite强悍的扫描功能。
首先,来设置下代理

此端口可以随意设置,不影响其他通信就OK
接着,我们用本地浏览器通过此代理进行网络访问。

这样 Bruf 就可以截获网页数据包了
浏览下baidu试试效果,如下图

可见,所有通过百度的数据包都已经被截获了,而且在截获的过程中爬行了相关域名下路径,可以再截获数据包的时候进行改包和发送,forward或者drop,这个就先不说了,此次重点是扫描,点击scanner可以看到下面有四个选项,结果,扫描队列,存活的扫描线程和选项

不用理会我那个红色的proxy,那是其他网页传输数据就会提示,在active scanning中可以随自己的想法来设置,在选项中可以设置你想要去扫描的类型

想扫什么选什么,不然速度很慢,当然,此时已经是自动(主动)扫描模式,你所打开网页后所截获的数据的url都会被扫描到

在这里也可以设置你想定义的扫描范围,暂不做演示,我选择第二项,来扫描我所选择的网页

OK,那么现在我们回到target,在截获的URL中选择你想扫描的(也可以CTRL+A)全选,右键加入到scope里

在看scope

能看到都是用正则来判断的,其实这里面大可以自己来写想要获取的url正则,比如以任意字符开头,后面包含baidu.com都可以,这就要看自己的正则水平了。
下面我们回到sitemap来扫描这两个站试试


当你自定义扫描范围的时候,上面的两个选项才会变成可选,这次我所演示的是单一的扫描,但是不要忘记,定义扫描范围,要在scanning中live scanning中设置。


Next之后可以看到我们所得到的url,点击OK 开启扫描

回到scan queue中可以看到扫描线程和状态,估计我这个也扫不出来什么,我刚把所有的扫描项目都选上了,还是要慢慢的等。
等待的这段时间我在说点别的,其实对于这样的检测,可以推荐大家多使用appscan和WVS之类的软件,但我个人还是比较喜欢这个,不用安装,小巧方便,扫描的类型及范围都可自定义。而且速度快。效果还算不错,功能也多。
OK,扫好了

左边的是域名及扫描的树状结构,右边是具体的问题分析及数据包,可以看到hi的域名有跨域文件,看下具体的

还好是有限制的,高危的会显示为红色,黄色的是普通问题,还有就是?,需要自己来判断是否是问题或者漏洞

可以再这里看到
如果有误报,可以将其标记,以后相同的问题就不会再报了
这个结果是可以输出的

至于输出什么样的格式我就不演示了,大家都是大牛,没必要,一路NEXT,选择输出就OK
好了基本上这块就差不多了,关于数据包截取改包,暴力破解,下次再说,在做这个的时候其实已经把网站爬行的地方演示了,但是这一个小小的JAVA程序,却还有很多其他的功能,下次有空在发出来给大家分享。
因为平时工作很忙,只能挑空余的时间来写点东西,分享分享,肯定会有不全面的地方,会的请飘过,不会的看看大家一起学习学习。
下次会和大家分享burp的其他使用方法和功能。

相关文章
|
7天前
|
前端开发 JavaScript 安全
前端性能调优:HTTP/2与HTTPS在Web加速中的应用
【10月更文挑战第27天】本文介绍了HTTP/2和HTTPS在前端性能调优中的应用。通过多路复用、服务器推送和头部压缩等特性,HTTP/2显著提升了Web性能。同时,HTTPS确保了数据传输的安全性。文章提供了示例代码,展示了如何使用Node.js创建一个HTTP/2服务器。
19 2
|
13天前
|
移动开发 开发者 HTML5
构建响应式Web界面:Flexbox与Grid的实战应用
【10月更文挑战第22天】随着互联网的普及,用户对Web界面的要求越来越高,不仅需要美观,还要具备良好的响应性和兼容性。为了满足这些需求,Web开发者需要掌握一些高级的布局技术。Flexbox和Grid是现代Web布局的两大法宝,它们分别由CSS3和HTML5引入,能够帮助开发者构建出更加灵活和易于维护的响应式Web界面。本文将深入探讨Flexbox和Grid的实战应用,并通过具体实例来展示它们在构建响应式Web界面中的强大能力。
31 3
|
8天前
|
前端开发 安全 应用服务中间件
前端性能调优:HTTP/2与HTTPS在Web加速中的应用
【10月更文挑战第26天】随着互联网的快速发展,前端性能调优成为开发者的重要任务。本文探讨了HTTP/2与HTTPS在前端性能优化中的应用,介绍了二进制分帧、多路复用和服务器推送等特性,并通过Nginx配置示例展示了如何启用HTTP/2和HTTPS,以提升Web应用的性能和安全性。
15 3
|
8天前
|
前端开发 JavaScript API
前端框架新探索:Svelte在构建高性能Web应用中的优势
【10月更文挑战第26天】近年来,前端技术飞速发展,Svelte凭借独特的编译时优化和简洁的API设计,成为构建高性能Web应用的优选。本文介绍Svelte的特点和优势,包括编译而非虚拟DOM、组件化开发、状态管理及响应式更新机制,并通过示例代码展示其使用方法。
24 2
|
9天前
|
测试技术 持续交付 PHP
PHP在Web开发中的应用与最佳实践###
【10月更文挑战第25天】 本文将深入探讨PHP在现代Web开发中的应用及其优势,并分享一些最佳实践来帮助开发者更有效地使用PHP。无论是初学者还是有经验的开发者,都能从中受益。 ###
25 1
|
9天前
|
负载均衡 监控 算法
论负载均衡技术在Web系统中的应用
【11月更文挑战第4天】在当今高并发的互联网环境中,负载均衡技术已经成为提升Web系统性能不可或缺的一环。通过有效地将请求分发到多个服务器上,负载均衡不仅能够提高系统的响应速度和处理能力,还能增强系统的可扩展性和稳定性。本文将结合我参与的一个实际软件项目,从项目概述、负载均衡算法原理以及实际应用三个方面,深入探讨负载均衡技术在Web系统中的应用。
37 2
|
8天前
|
API 持续交付 PHP
PHP在现代Web开发中的应用与未来展望####
【10月更文挑战第25天】 本文深入探讨了PHP作为服务器端脚本语言在现代Web开发中的关键作用,分析了其持续流行的原因,并展望了PHP在未来技术趋势中的发展方向。通过实例解析和对比分析,揭示了PHP如何适应快速变化的技术环境,保持其在动态网站构建中的核心地位。 ####
|
26天前
|
XML JSON API
ServiceStack:不仅仅是一个高性能Web API和微服务框架,更是一站式解决方案——深入解析其多协议支持及简便开发流程,带您体验前所未有的.NET开发效率革命
【10月更文挑战第9天】ServiceStack 是一个高性能的 Web API 和微服务框架,支持 JSON、XML、CSV 等多种数据格式。它简化了 .NET 应用的开发流程,提供了直观的 RESTful 服务构建方式。ServiceStack 支持高并发请求和复杂业务逻辑,安装简单,通过 NuGet 包管理器即可快速集成。示例代码展示了如何创建一个返回当前日期的简单服务,包括定义请求和响应 DTO、实现服务逻辑、配置路由和宿主。ServiceStack 还支持 WebSocket、SignalR 等实时通信协议,具备自动验证、自动过滤器等丰富功能,适合快速搭建高性能、可扩展的服务端应用。
86 3
|
7天前
|
设计模式 前端开发 数据库
Python Web开发:Django框架下的全栈开发实战
【10月更文挑战第27天】本文介绍了Django框架在Python Web开发中的应用,涵盖了Django与Flask等框架的比较、项目结构、模型、视图、模板和URL配置等内容,并展示了实际代码示例,帮助读者快速掌握Django全栈开发的核心技术。
81 44
|
3天前
|
前端开发 API 开发者
Python Web开发者必看!AJAX、Fetch API实战技巧,让前后端交互如丝般顺滑!
在Web开发中,前后端的高效交互是提升用户体验的关键。本文通过一个基于Flask框架的博客系统实战案例,详细介绍了如何使用AJAX和Fetch API实现不刷新页面查看评论的功能。从后端路由设置到前端请求处理,全面展示了这两种技术的应用技巧,帮助Python Web开发者提升项目质量和开发效率。
11 1