如何下载安装BurpSuite使用_burpsuite download

一、Burpsuite简介

想要开展好安全测试，那么需要一个好工具，BurpSuite 是用于攻击web 应用程序的集成平台，它包含了许多Burp工具，这些不同的burp工具通过协同工作，有效的分享信息， 它主要用来做安全性渗透测试，可以实现拦截请求、Burp Spider爬虫、漏洞扫描等。那么试着把工具装上并使用。

二、jdk环境搭建

BurpSuite是基于java开发的工具，所以需要下载个jdk用来支持Burpsuite软件。不过不同版本的BurpSuite对jdk版本的支持不一样2.0版本之前可以支持jdk8，而之后的版本为jdk9以上，所以建议安装jdk8或者jdk11，不建议用最新的jdk版本比如20或21，版本要注意一下，不同的jdk版本和不同的BurpSuite匹配程度不一样，版本不匹配的话会导致打不开BurpSuite的情况。

1.jdk简介

JDK(Java Development Kit)为Java程序开发工具包，包含JRE和开发人员使用的工具。其中的开发工具：编译工具 （javac.exe）和运行工具（java.exe）。如果想开发一个全新的Java程序，必须安装JDK。Java语言是由美国Sun（Stanford University Network）公司在1995年推出的，2009年Oracle甲骨文公司收购了Sun公司，所以我们可以去甲骨文官网下载JDK。

2.下载jdk

2.1首先打开浏览器，推荐官网的地址 www.oracle.com

2.2然后点开产品，打开产品的列表，点击Java;

2.3点击下载Java，进入Java的下载页

2.4这时进入了JDK的下载页面，不过这里显示的是JDK的最新版本（目前更新到JDK21），但下载可以根据个人需要进行选择。

2.5点击Java Archive（Java的档案），即Java之前其他的历史版本文件。选择Java Archive。可以看到有多种版本，根据个人需要选择版本，这里我选择Java SE 8(8u211 and later)的jdk-8u391做示例。那么电脑为windows x64的下载windows x64 Installer就好。

2.6到了下载页面，可以看到适用于多种操作系统环境的JDK。在下载之前需要点击Accept License Agreement（接受许可协议）。另外注意下载需要注册一个oracle的用户！！

2.7没有oracle账户的在oracle账户登录创建一个账户吧，这省略了。创建好后选择你们想要的版本下载安装包，如：64位的Windows系统就点击jdk-8u391-windows-x64.exe进行下载。

3.jdk的安装

jdk的安装就一路下一步下一步。直到完成。默认安装在C盘下的Program Files目录下，如果想更改安装目录，那么请你按照以下操作进行安装。

3.1找到下载后的jdk的安装包，双击开展安装。

3.2点击下一步

3.3默认会安装到C盘的Program Files目录下，如果想改变安装目录，可以点击更改按钮。当然，你也可以安装到默认目录下，根据各自习惯选择安装路径。

3.4那么选好你需要的目录后就点击下一步

3.5安装 jre，可以更改 jre 安装路径(过程同上，如果提示需要将 jre 安装在一个空目录下，那自己创建一个目录即可）。

3.6和JDK安装目录一样，在Java文件夹下新建一个空文件夹，选择这个文件夹，然后点击确定。

3.7点击下一步然后安装那么安装完毕，到此jdk和jre安装完成，点击关闭。

4.配置环境变量

4.1环境变量是操作系统中的一个参数，它用于告诉计算机在特定路径中查找特定文件或程序。这有点类似于默认路径，JDK环境变量是我们在使用Java开发工具包时，为了方便使用而设置的一种环境变量。

4.2打开“此电脑”，右键选择属性，选择高级系统设置。

4.3点击“环境变量”。

4.4在系统变量区域，点击新建。

4.5变量名：JAVA_HOME ，变量值为 jdk 的安装路径。

4.6再次建变量名:CLASSPATH 变量值 .;%JAVA_HOME%\lib\dt.jar;%JAVA_HOME%\lib\tools.jar 

4.7找到Path变量，双击编辑 Path变量。点击新建，变量值为%JAVA_HOME%\bin ，并将它移到最前端，然后点击确定。这样就配置成功了

5.检验是否配置成功

5.1.按键盘win+R，打开运行，输入cmd 指令，点击确定进入命令行窗口。

5.2.那么输入java -version获取当前安装的 jdk 的版本信息（注意：java后面有个空格）

5.3.那么输入javac.exe命令。

5.4.那么输入java.exe命令。

显示成功这样你的JDK就下载和安装好了

三、Burpsuite环境搭建使用

1.Burpsuite下载

1.1打开浏览器，推荐官网地址portswigger.net/burp/

1.2选择products的 Burp Suite community Edition

1.3选择 Go straight to downloads

1.4选择All releases 看看老版本吧，因为需要和jdk8匹配，如果版本太高了那么匹配不了。

1.5点击community，点击

1.6选择2017 点这版本

1.7点击download下载好，选择community版本，因为免费

2.Burpsuite安装和启动

2.1点击burpsite指令，弹出软件窗口。点击Temporary project

2.2选择Next，选择默认配置，然后单击Start Burp

2.3那么这安装启动好了

3.Burprise的功能简介

模块介绍：

Target(目标)——显示目标目录结构的的一个功能

Proxy(代理)——拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许你拦截，查看，修改在两个方向上的原始数据流。

Intruder(入侵)——一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing 技术探测常规漏洞。

Repeater(中继器)——一个靠手动操作来触发单独的HTTP 请求，并分析应用程序响应的工具。

Sequencer(会话)——用来分析那些不可预知的应用程序会话令牌和重要数据项的随机性的工具。

Decoder(解码器)——进行手动执行或对应用程序数据者智能解码编码的工具。

Comparer(对比)——通常是通过一些相关的请求和响应得到两项数据的一个可视化的“差异”。

Extender(扩展)——可以让你加载Burp Suite的扩展，使用你自己的或第三方代码来扩展Burp Suit的

4.Burpsuite拦截https请求使用

4.1用火狐设置代理：打开浏览器，设置>代理，然后点击设置配http代理为127.0.0.1 端口为8080

4.2下载证书，在地址栏内输入127.0.0.1:8080(或者burp，这个是很多博客中用的，但是没成功,网页报错）点击右上角的CA Certificate，进行下载证书

4.3在浏览器点击设置再输入证书，打开证书管理器，点击导入，导入那个下载的证书

4.4把两个选项勾上点击确定

那么在浏览器导入文件，BurpSuite就可以截取浏览器的https请求了

如果想要拦截https请求，那么将intercept is off改为intercept is on这样在火狐浏览器访问http就可以抓包了

那么在proxy的http history可看到host method url等信息

5.proxy

5.1 代理模块作为BurpSuite的核心功能，拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许你拦截在两个方向上的原始数据流。burp 代理可以用来进行攻击，如：SQL 注入，cookie 欺骗等。

5.2在Burpsuite中点击Proxy标签，在子标签中点击Options标签，启用127.0.0.1：8080进行代理。可以设置该值改变代理的端口。如果对浏览器进行拦截则需要设置浏览器中的代理与Burpsuite代理一致。

5.3在intercept标签中，按钮功能如下所示：

forward：当你编辑之后，发送信息到服务器或浏览器

drop：当你不想发送这次信息可以点击drop放弃这个信息

interceptionis on/off: 这个按钮用来切换和关闭拦截，如果按钮显示interceptions on，表示请求和响应将被拦截，如果按钮显示interception is off则显示拦截。

5.4设置interceptionis on，在火狐浏览器中访问百度，发现网页没展示，切回到intercept标签页展示如下：

5.5看看acition菜单可用的操作有哪些功能

Send to Spider 发送给spider进行爬取

Do an active scan 启动主动扫描

Send to Intruder 发送到入侵者

Send to Repeater 发送到中继器

Send to Sequencer 发送到序列发生器

Send to Comparer 发送到比较器

Send to Decoder 发送到解码器

Request in browser 在浏览器的请求

Engagement tools 参与工具

Change request method 修改请求方式，你就可以把请求的方法在 POST 和 GET 中间切换。

Change body encoding 改变正文编码，改变http请求体的编码方式，你可以在应用程序/X-WWW 格式的 URL 编码和多重表单/数据之间切换消息体的编码方式。

Copy URL 把当前的 URL 完整地复制到粘贴板上。

Copy as curl command 作为curl命令

Copy to file 这个功能允许你把选择一个文件，并把消息的内容复制到这个文件里。

Pase form file 这个功能允许你选择一个文件，并把文件里的内容粘贴到消息里。

Save item 这个功能让你指定一个文件，把选中的请求和响应以XML的格式保存到这个文件，这里面包括所有的元数据如：响应的长度，HTTP 的状态码以及 MIME 类型。

Don't intercept requests 通过这些命令可以快速地添加拦截动作的规则来阻止拦截到的消息，这些消息和当前的消息有着相同的特征(如远程主机，资源类型，响应编码)。

Do intercept 仅对请求有效，这允许你可以对当请求和响应的进行强制拦截。

Convert seiection 这些功能让你能够以多种方案对选择的文本进行快速的编码和解码。

URL-encode as you type 如果这个选项被打开，你输入的像&和=这样的符号会被等价的 URL编码代替。

Cut 剪切

Copy 复制

Paste 粘贴

Message edit help 消息编辑帮助

Proxy interception help 代理拦截帮助

6.intruder

6.1这是一个强大的工具，用于对Web应用程序自定义的攻击，intruder 是高度配置的，并被用来在广范围内进行自动化攻击。你可以使用 intruder 方便地执行许多任务，包括枚举标识符等。Burp Intruder主要有四个模块组成:

6.2Target 用于配置目标服务器进行攻击的详细信息。

这个页面attack target意为攻击目标 configure the details of the target for the attack为配置攻击目标的具体信息 host为目标服务器的地址 port为目标服务器端口号 use https看ssl要不要使用

6.3Positions  这位置选项用来配置在攻击里产生的所有 HTTP 请求的模板 设置Payloads的插入点以及攻击类型（攻击模式）。

这playload positon为载荷位置，configure ... details意为配置有效载荷将插入到基本请求中的位置。攻击类型决定有效载荷分配给有效载荷的方式。-详细信息请参见帮助。attack type攻击模式设置这sniper直译狙击手，对单个参数破解。battering ram攻城锤，攻击范围大效率不高。pitchfork草叉，容易遗漏数据。cluster bomb榴弹攻击范围较大但花费资源较多。

使用一对§字符来标记出有效负荷的位置，在这两个符号直接包含了模板文本的内容。§add为插入标记，§clear清除标记，§auto自动设置标记，§refresh刷新，clear 删除整个编辑器内容。

6.4payloads  有效载荷 payload sets:有效载荷集 you...ways 意为可定义一个或多个有效载荷集。有效载荷集的数量取决于位置选项卡定义的攻击类型。每个有效负载集都可以使用不同的有效负载类型，并且可以以不同的方式定制每个有效负载类型。 payload set:设置playload变量 payload type:payload类型 

那么payload optuons有效载荷选项[简单字典] paste粘贴 load加载 remove删除 clear清除 add添加

那么payload processing有效载荷处理 you...used你可以定义规则，以便在使用每个有效负载之前对其执行各种处理任务 add添加一条规则(add prefix 添加一个文字前缀 add suffix添加一个文字后缀 match/replace将替换匹配特定表达式有效载荷任何部位，用文字字符串表示等)

看看payload encoding有效载荷编码，你可以配置哪些有效载荷中的字符应该是URL编码的HTTP请求中的安全传输。

Options   此选项卡包含了request headers，request engine，attack results ，grep match，grep_extrack，grep payloads和redirections。你可以发动攻击之前，在主要Intruder的UI上编辑这些选项，大部分设置也可以在攻击时对已在运行的窗口进行修改。

那么request headers请求头，these...attacks这些设置控制攻击期间Intruder是否更新配置的请求头。然后更新connection-length头，设置连接close 然后request engine请求引擎 these...attacks这些设置控制在执行攻击时用于发出HTTP请求的引擎。一些选项在免费版的Burp中是不可用的。number of threads 线程：请求控制攻击请求的并发数。number of retries on network failure 网络故障重试次数。pause before retry重视等待时间。

攻击结果的显示

在响应找指定内容项

提取信息的内容

这为有效载荷的反射以及重定向的响应

6.5repearter手工修改请求参数结果分析

6.6comparer提供一个可视化的差异比对功能，来对比分析两次数据之间的区别

如果文章帮到了您，劳烦点赞、收藏、转发！您的鼓励是我不断更新文章最大的动力哦！