burpsuite實戰指南--如何使用burpsuite
https://blog.csdn.net/liweibin812/article/details/83650751
https://blog.csdn.net/weixin_38079422/article/details/80729158 很棒的一篇文章
1、設置代理
2、瀏覽器導入證書，也可以不導入
3、
Burp suite 自動掃描
首先看標紅，intercept is on 為攔截狀態 其對應的intercept is off 為非攔截狀態,設置完代理后打開攔截狀態，瀏覽器發起的請求會被burpsuite所攔截
forward: 進行請求后被攔截，點擊forward可以繼續此次請求，如果你點擊drop則丟棄此請求數據。
繼續請求后能夠看到返回結果
1. Raw 這個視圖主要顯示web請求的raw格式，包含請求地址， http協議版本， 主機頭， 瀏覽器信息，accept可接受的內容類型，字符集，編碼方式，cookies等, 可以手動修改這些內容，然后在點擊forward進行滲透測試
2. params 這個視圖主要是顯示客戶端請求的參數信息，get或者post的參數，cookies參數，也可以修改
3.headers是頭部信息和Raw其實差不多，展示更直觀
4.Hex 這個試圖顯示Raw的二進制內容
注意： 默認情況下，BurpProxy只攔截請求的消息，普通的文件如css,js,圖片是不會攔截的，當然，想攔截什么都可以設置,我們現在知道了怎么設置代理，怎么安裝，怎么進行請求攔截，怎么修改請求發起的內容向服務端進行滲透，接下來我們學習一下怎么控制這些攔截
此時，選擇需要做安全掃描的站點，右擊，在彈窗中點擊 Activity scan this host 在彈窗中可以選擇把 js,gif,jpg,png,css等文件過濾掉
確認后，在Scanner--scan queue中可以看到掃描的進度，並且展示出issues的級別，burpsuite默認有4種級別，High、Medium、Low、Information，並且用不同的顏色區分。
可以將測試報告導出，可以以html的形式導出，選擇某個站點--issues–report issuesfor this host
可以設置需要導出的報告包含的issue的級別等信息。
打開報告可看到詳細信息。（見附件）
