Burp Suite 是一款強(qiáng)大的網(wǎng)絡(luò)安全工具，得到了全球用戶的廣泛支持和貢獻(xiàn)。Burp Suite 用戶社區(qū)活躍而富有創(chuàng)造力，經(jīng)常分享優(yōu)化使用技巧，幫助滲透測試人員提高工作效率和發(fā)現(xiàn)潛在的漏洞。以下是從社區(qū)收集的幾條精選技巧，分為三個(gè)主要類別：

Burp Suite 是一款領(lǐng)先的Web應(yīng)用程序安全測試工具。它被廣泛用于識別和修復(fù)Web應(yīng)用程序中的漏洞。

Burp Suite 最新版下載

節(jié)省時(shí)間的技巧

1. Repeater中的滾動切換
   在Repeater中啟用滾動切換，當(dāng)參數(shù)的值反映在響應(yīng)中時(shí)，可以節(jié)省查看變化的時(shí)間。

2. 創(chuàng)建默認(rèn)配置文件
   創(chuàng)建一個(gè)默認(rèn)的 project_options.json 文件，避免重復(fù)配置項(xiàng)目設(shè)置（例如：正則表達(dá)式、超時(shí)、代理、攔截配置等）。

3. 使用快捷鍵提高效率

   • 從Proxy > HTTP History：
     • Ctrl + R：發(fā)送請求到Repeater
     • Ctrl + Shift + R：跳轉(zhuǎn)到Repeater
     • Ctrl + Space：從Repeater發(fā)送請求

4. 自定義Intruder負(fù)載列表
   自定義Intruder的負(fù)載列表，以節(jié)省時(shí)間。

5. 使用負(fù)向搜索過濾
   在搜索中勾選“負(fù)向”匹配，快速排除包含不需要查看的字符串的響應(yīng)或請求（例如："incap_sess"）。

發(fā)現(xiàn)漏洞的技巧

1. 使用站點(diǎn)地圖比較
   使用Burp的“工具/目標(biāo)/站點(diǎn)地圖/比較”功能來發(fā)現(xiàn)潛在的訪問控制問題。

2. 高級范圍選項(xiàng)
   使用高級范圍選項(xiàng)，只使用公司或站點(diǎn)的名稱，這樣可以過濾流量，幫助發(fā)現(xiàn)可能存在的S3桶或其他云存儲服務(wù)。

3. 啟動多個(gè)本地代理監(jiān)聽器
   啟動多個(gè)本地代理監(jiān)聽器，并為不同工具指定不同端口，以便可以按端口過濾流量，分析工具行為及其對服務(wù)器的潛在影響。

4. 使用“匹配與替換”
   使用“匹配與替換”功能，將某些字符串（如 FALSE 變?yōu)?TRUE）進(jìn)行修改，這通常能觸發(fā)一些有趣的行為。

5. 保存Burp項(xiàng)目并被動分析
   將Burp項(xiàng)目保存為文件，并使用gf模式對文件進(jìn)行搜索，查找敏感信息如密鑰和令牌等。

6. 持久化Collaborator會話
   通過“SECRET_KEY”，創(chuàng)建腳本并輪詢Collaborator，進(jìn)行持續(xù)的漏洞挖掘。

7. 使用“復(fù)制為curl”
   我承認(rèn)，除了滲透測試，我還經(jīng)常用“復(fù)制為curl”來作為工程師修復(fù)bug時(shí)的POC。

提高生產(chǎn)力和工作流效率的技巧

1. 重命名Repeater標(biāo)簽頁
   在Repeater中為每個(gè)重要的端點(diǎn)重命名標(biāo)簽頁，這樣可以在多個(gè)標(biāo)簽頁打開時(shí)方便管理。

2. 使用標(biāo)簽頁切換功能
   學(xué)會使用Repeater中的前進(jìn)（<）和后退（>）標(biāo)簽，快速切換請求。

3. 保存項(xiàng)目文件時(shí)精簡內(nèi)容
   在保存項(xiàng)目文件時(shí)，只保留范圍內(nèi)的內(nèi)容，從而減小文件大小。然后使用7zip進(jìn)行壓縮。

4. 使用“匹配與替換”進(jìn)行XSS測試
   使用“匹配與替換”功能添加XSS負(fù)載（例如：XSS1="'--></style></script><svg oNload=alert()>），每次瀏覽時(shí)都會被替換。

5. 通過SSH隧道將請求發(fā)送到Burp
   通過“ssh -R 18081:localhost:8081”將本地請求發(fā)送到VPS上，然后在Burp中設(shè)置監(jiān)聽器（127.0.0.1:8081），以便輕松過濾本地和VPS的流量。

如果您有任何問題需了解詳情，請聯(lián)系在線咨詢