目录
1.介绍
1.1简介
1.2版本
1.3出现的问题
1.3.1初始运行问题解决
1.3.2关闭FIrefox的GET请求
1.4控件安装
1.5安装burp的ssl帧数
2.burpsuite使用
2.1intruder
2.2Repeater
1.介绍
1.1简介
统一的集成工具，发现全部现代WEB安全漏洞，PortSwigger公司基于Java开发，所有的工具共享一个能处理并显示HTTP信息的可扩展框架，模块之间无缝交换信息
1.2版本
Burp Free：免费版
Burp Professional：专业版
区别是专业版支持主动扫描工具，Free不支持，以及一些功能不支持。
1.3出现的问题
1.3.1初始运行问题解决
brupsuite的proxy代理功能running运行不了，打钩始终钩不上，原来是默认的8080端口被占用*
1.3.2 关闭Firefox的GET请求
在使用burpsuite代理时，发现一直有向Firefox的detectportal.firefox.com发送请求，将其关闭以防影响测试。
打开Firefox浏览器，输入about:config，然后找到network.captive-portal-service.enabled，将其关闭。
1.4控件安装
添加jpython：用于java与python交互的中间件
J2EE scan、CO2是建议需要安装的
1.5 安装burp的ssl证书
将浏览器设置为burpsuite代理，然后将burpsuite的proxy设置为off，再访问http://burp，出现如下界面
下载证书，并导入到火狐浏览器中。
2.burpsuite使用
2.1 intruder
使用intruder，在request标签框中，点击右键，选择“send to intruder”
在intruder中，设置username和password中定义两个变量，然后定义两个字典，进行"Attack type"中的各种类型测试
payload position：插入的位置，即为payload，每一次请求中，Intruder通常会携带一个或多个有效供给载荷（payload），在不同的位置进行攻击重放，通过应答数据的比对分析来获得需要的特征数据。
由于选择的是“sniper”，它是只需要一个字典，将两个都导入进来，它会一个一个的去试，即a变量全试完后再尝试d变量
Cluster bomb模式即全交叉都测试一遍
将忽略http headers的选项去掉，才能看到哪个是成功登录的。
此时，选择attack，出现如下界面：
2.2 Repeater
点击一个访问，然后右键将其发送到repeater
点击“go”，从repeater发送至目标服务器，然后可以查看到目标服务器的响应
将请求报文进行修改后，查看目标服务器响应
将原有的post请求，修改为get请求
从下面的结果可以看到，已经将原来的post改为了get请求，并“go”发送至目标服务器
