数据查找和拓展功能


BurpSuite高级功能在界面布局上主要集中在两大块,一是菜单栏,另一个是右击菜单的Engagement tools。


BurpSuite使用指南-数据查找和拓展功能_数据


数据查找(Search) 数据查找功能主要用来快速搜索Target、Proxy、Repeater三个组件中的请求和应答消息的内容,其界面如图:


BurpSuite使用指南-数据查找和拓展功能_搜索_02


BurpSuite使用指南-数据查找和拓展功能_数据_03


BurpSuite使用指南-数据查找和拓展功能_数据_04


默认情况下,当我们打开功能界面时,都是空的。如果我们在搜索框输入关键字,点击【Go】之后,下面的列表中将自动显示匹配到的所有消息。默认匹配时,是从HTTP消息中的Host、url、请求消息头,请求消息Body、应答消息头、应答消息Body中搜索匹配字段。


BurpSuite使用指南-数据查找和拓展功能_数据_05


Options主要控制关键字匹配的方式:大小写敏感、域内搜索、正则表达式匹配、动态更新、反向匹配


Locations主要用于控制关键字查找的范围:请求消息头、请求消息Body、应答消息头、应答消息Body


Tools主要用于控制关键字搜索的Burp工具组件的范围:Target、Proxy、Repeater 我们通过Options、Locations、Tools三者的组合,能准确的搜索我们关注的字符、脚本、referer、备注等信息。


当然,Search面板也集成了Burp的横向传递功能,当我们找到或发现关心的HTTP消息后,直接可传递到其他的工具组件中。


BurpSuite使用指南-数据查找和拓展功能_搜索_06


Intruder菜单主要用于自动化攻击的相关配置。它的菜单和对应的功能如下:


BurpSuite使用指南-数据查找和拓展功能_搜索_07


Start attack 开始发起攻击

Open save attack 重新加载之前保存的Intruder攻击文件

Save attack config、Locd attack config、Copy attack config,主要控制Intruder的攻击配置信息

Automatic payload position主要用于控制payload的使用方式:替换参数值或者追加参数值

Configure predefined payload lists用于控制Burp默认的payload字典值。



BurpSuite使用指南-数据查找和拓展功能_自动生成_08


Intruder菜单主要用于Repeater工具的控制,它的子菜单有:


BurpSuite使用指南-数据查找和拓展功能_搜索_09


Update Content-Length 当执行Repeater操作时,自动更新消息头中的Content-Length

Unpack gzip /deflate 解压压缩文件

Follow redirections 跳转控制,可以选择从不跳转、同一站点内跳转、Scope内跳转、始终跳转四种的其中之一

Process cookie in redirections 跳转的同时是否处理Cookie

View主要控制Repeater面板整个布局


Engagement tools


BurpSuite使用指南-数据查找和拓展功能_数据_10


Find references是指对选中的某条Http消息获取其referer信息


BurpSuite使用指南-数据查找和拓展功能_搜索_11


Discover content是指对选中的某条Http消息,根据其url路径,进行目录枚举和文件枚举操作。


BurpSuite使用指南-数据查找和拓展功能_搜索_12


Schedule task任务时间表 任务时间表的功能主要是把当前选中的url作为初始路径,然后进行多种任务的选择,进入任务时间表进行执行。 


BurpSuite使用指南-数据查找和拓展功能_搜索_13



Generate CSRF Poc生成CSRF的POC 此功能的作用是,依据选中的http消息,自动生成CSRF的POC内容。当我们把POC的内容保存为HTML即可执行。


BurpSuite使用指南-数据查找和拓展功能_自动生成_14


BurpSuite使用指南-数据查找和拓展功能_自动生成_15


BurpSuite使用指南-数据查找和拓展功能_数据_16


BurpSuite使用指南-数据查找和拓展功能_搜索_17


BurpSuite使用指南-数据查找和拓展功能_自动生成_18