bp工具Proxy、Intruder和Repeater模块的使用
bp工具介绍
Burp Suite（以下简称bp）是一个集成化的渗透测试工具，它集合了多种渗透测试组件，使我们自动化地或手工地能更好的完成对web应用的渗透测试和攻击。在渗透测试中，我们使用bp将使得测试工作变得更加容易和方便，即使在不需要娴熟的技巧的情况下，只有我们熟悉bp的使用，也使得渗透测试工作变得轻松和高效。
实验准备
1、安装Java环境。因为bp工具是基于Java环境编写的工具，要先检查当前主机是否安装Java环境，没有安装Java的需要安装Java环境。
注意：安装的Java版本过高也会导致bp工具无法正常运行，会报错：Burp没有在此版本的Java上完整测试过！
2、安装bp工具。解压bp工具的压缩包，点击“启动.bat”文件，按步骤提示完成
3、安装并开启phpstudy服务
4、设置浏览器的代理为127.0.0.1，端口号为8080。以火狐浏览器为例，设置步骤如下
实验步骤
一、Proxy代理模块功能演示
1、查看本机ip，访问本机服务器的主页
2、打开bp工具，开启Proxy的拦截按钮
3、在浏览器*问本主机web服务器主页，浏览器一直处于加载状态，同时浏览器请求数据被bp工具拦截，此时可以查看浏览器发送的请求数据，也可以进行修改
二、使用Intruder**模块，**用户名和密码演示
1、将写有简易登录功能的intruder.php文件粘贴到php的网站主目录下
2、在浏览器*问web主页目录下的intruder.php文件，并且将登录的同户名和密码输入在地址栏上进行访问，此时请求数据被bp工具的Proxy模块拦截，还未放行浏览器一直处于加载状态
3、右键发送到intruder模块
4、进入intruder模块的操作positions界面，选择攻击类型为cluster bomb（集束炸弹），选中需要**替换的字符串
5、在payloads界面分别设置第一个和第二个字符串准备替换的payload
6、在positions界面点击start attack按钮进行**
7、通过浏览器返回的状态码和字符串长度的差异判断正确的账号密码
三、使用repeater模块，修改和从放http请求消息和响应消息演示
1、打开bp工具proxy模块的数据拦截功能，浏览器访问网站主页
2、proxy模块拦截到请求数据，右键发送到repeater模块
3、可以在左边的请求区直接修改请求的内容，点击Go按钮，即可在右边的响应区查看web服务器返回的响应数据