Brup Suite
BurpSuite是用於攻擊web應用程序的集成平台。它包含了許多工具，並為這些工具設計了許多接口，以促進加快攻擊應用程序的過程。所有的工具都共享一個能處理並顯示HTTP消息，持久性，認證，代理，日志，警報的一個強大的可擴展的框架。
功能介紹
proxy–Burp Suite帶有一個代理,通過默認端口8080上運行，使用這個代理，我們可以截獲並修改從客戶端到web應用程序的數據包.
Spider–用來抓取Web應用程序的鏈接和內容等，它會自動提交登陸表單（通過用戶自定義輸入）的情況下.Burp Suite的蜘蛛可以爬行掃描出網站上所有的鏈接,。
Scanner–用於掃描Web應用程序漏洞 。
Intruder–此功能呢可用語多種用途,如利用漏洞,Web應用程序模糊測試,進行暴力猜解等.
Repeater–此功能用於根據不同的情況修改和發送修改過的請求並分析。
Sequencer–此功能主要用來檢查Web應用程序提供的會話令牌的隨機性。
Decoder –此功能可用於解碼數據找回原來的數據形式,或者進行編碼和加密數據。
Comparer–此功能用來執行任意的兩個請求,響應或任何其它形式的數據之間的比較。
環境：JAVA環境，需將BurpSuite環境變量的Path中
啟動：
1. 通過雙擊BurpLoader.jar啟動
2. 在CMD下通過命令java -jar BurpLoader.jar 啟動
Chrome插件：SwitchyOmega.crx 下載需翻牆
設置代理為本機： HTTP 127.0.0.1 8080
選擇Proxy即可通過代理抓包
Https抓包
通過Proxy>Options>import /export CA certificate導出一個BurpSuite的證書給瀏覽器
數據包可通過BurpSuite的Proxy中的Http History，點擊右鍵進行各種操作
如通過Repeater修改和發送修改過的請求並分析
通過Scanner掃描web漏洞
撞庫流程：
1. 收集郵箱：為撞庫用
2.收集子域名：不斷滲透 可通過搜索引擎搜索 site:xxx.com
3. 站長工具: 信息收集
4. NMAP：檢測端口
爆破:
BurpSuite撞庫：
1. 通過Proxy抓包，右鍵Send to Intruder
2. 進入Introder的Positions標簽頁，Clear腳本
3. 選中需要參數化的關鍵字，如password， 點擊Add進行參數化
4. 進入Payloads標簽頁，Payloads type選擇Runtime file，通過Select file 選擇txt文件
5. Start Attack, 選取特殊的一個，如length