burpsuite实战指南--如何使用burpsuite
https://blog.csdn.net/liweibin812/article/details/83650751
https://blog.csdn.net/weixin_38079422/article/details/80729158 很棒的一篇文章
1、设置代理
2、浏览器导入证书，也可以不导入
3、
Burp suite 自动扫描
首先看标红，intercept is on 为拦截状态 其对应的intercept is off 为非拦截状态,设置完代理后打开拦截状态，浏览器发起的请求会被burpsuite所拦截
forward: 进行请求后被拦截，点击forward可以继续此次请求，如果你点击drop则丢弃此请求数据。
继续请求后能够看到返回结果
1. Raw 这个视图主要显示web请求的raw格式，包含请求地址， http协议版本， 主机头， 浏览器信息，accept可接受的内容类型，字符集，编码方式，cookies等, 可以手动修改这些内容，然后在点击forward进行渗透测试
2. params 这个视图主要是显示客户端请求的参数信息，get或者post的参数，cookies参数，也可以修改
3.headers是头部信息和Raw其实差不多，展示更直观
4.Hex 这个试图显示Raw的二进制内容
注意： 默认情况下，BurpProxy只拦截请求的消息，普通的文件如css,js,图片是不会拦截的，当然，想拦截什么都可以设置,我们现在知道了怎么设置代理，怎么安装，怎么进行请求拦截，怎么修改请求发起的内容向服务端进行渗透，接下来我们学习一下怎么控制这些拦截
此时，选择需要做安全扫描的站点，右击，在弹窗中点击 Activity scan this host 在弹窗中可以选择把 js,gif,jpg,png,css等文件过滤掉
确认后，在Scanner--scan queue中可以看到扫描的进度，并且展示出issues的级别，burpsuite默认有4种级别，High、Medium、Low、Information，并且用不同的颜色区分。
可以将测试报告导出，可以以html的形式导出，选择某个站点--issues–report issuesfor this host
可以设置需要导出的报告包含的issue的级别等信息。
打开报告可看到详细信息。（见附件）
