企业官网建设流程全解析

今天学习怎样使用burp suite 进行抓包操作。

这是简易的流程：当你安装了burp suite 并且完成了JAVA环境搭建和证书的申请后，启动burp,并且将浏览器的代理调成burp，开启拦截。这样一来，浏览器所运行的包都会被你拦截。

这引发出两个问题（针对抓包操作）：1.抓包操作有什么用处

2.抓包需要调节代理，在对他人进行抓包的时候，他人的软件未进行代理的更改，那么怎样实现对他人抓包？

3.抓包后的操作应该是什么（学习过程中提出，仅作为目录）

针对第一个问题：1.可以用来了解网络通信。

2.可以进行web漏洞分析：SQL注入，XSS,越权，文件上传，身份认证漏洞

3.API接口分析（APP与服务器通信，API请求格式，JSON数据，TOKEN的认证方式）

4.进行程序的调试（开发人员通过抓包进行测试：请求是否发送成功，参数是否正确等）

5.比赛和企业安全分析

针对第二个问题：需要明确“抓包不一定需要系统代理，重要的是让目标流量流经你能够观察到的位置”所以我们可以引出其他的抓包方式：

1.网络接口抓包：使用wireshark等工具进行监听

2.在网络出口或者授权网关上配置流量转发，监控或透明代理

3.客户端调试或测试环境

针对第三个问题：（列举一条路径）

1.选取一条抓到的请求，查看请求和响应

2.右键请求，选择：sent to repeater

3.点击repeater查看请求，再点击sent重新发送请求

4.对比响应结果分析参数变化和服务器行为

5.记录测试结果，分析有没有安全漏洞