[工具使用]BurpSuite（中）

多点爆破

下图是代理成功后拦截到的登录信息，最下方我们可以看到username，password，鼠标右键，选择Send to Intruder。

选择攻击方式之后点击Clear § ，选择我们需要爆破的username以及password点击Add §

(注意： Auto § — 这会对放置标记的位置做一个猜测，放哪里会有用，然后就把标记放到相应位置。这是一个为攻击常规漏洞(SQL 注入)快速标记出合适位置的有用的功能，然后人工标记是为自定义攻击的。)

进入Payload选项中设置两处Payload。

第一处admin的设置

第二处passwd的设置

对结果进行Grep-Match

Attack 结果的查看

Spider模块

开启BP Proxy，拦截网站数据包，鼠标右键，Send to Spider。

会有一个弹窗，我们点击Yes即可。

我们可以看到bp已经在爬取页面了。

spoce中已经有网站了

bp会爬取到一些需要登陆的页面，我们填入数据即可。

现在我们来看一下Spider的Options选项，取消勾选robots.txt，这样bp就可以爬取到robots.txt不让爬取的页面了。

如图我勾选了“Passively spider as you browse”，bp可以主动/被动的**

如下图的设置，当bp爬取到了需要登陆的页面，就会默认输入id和pw

我们可以设置Spider的线程数。

Spider的Control，如图箭头所指的是请求队列，当这里的数字是0，就是爬取完成了

Target ——>>Site map我们可以查看爬取网站的网站结构

拦截特定网站

如下图我们找到当前位置：

点击Add，如下图我们添加了中北大学的官网：nuc.edu.cn

上图点击OK后，会出现如下图的一行，这样就只会拦截nuc.edu.cn子域名的数据包。