Burp Suite基础（八）

声明：该笔记为up主 泷羽的课程笔记，本节链接指路。
警告：本教程仅作学习用途，若有用于非法行为的，概不负责。

---

ip伪装

• 安装组件jython
  下载好后，在burp中打开扩展设置并加入：
  

• 安装fakeip.py
  

使用方法

1. 指定伪造ip
   右键extension->burpFakeip->customip，输入成你想要的ip即可伪装。
   
   
2. 伪造本地ip
   右键extension->burpFakeip->127.0.0.1，即可伪装成本地。
   
3. 伪装随机ip⭐
   右键extension->burpFakeip->randomIP
   
4. 实际应用
   仅保留xff选项，并发送至intruder
   
   设置选项
   
   选择payload设置：
   
   payload2也一样设置：
   
   然后开始爆破：
   
   我们就可以用于限制ip访问次数的爆破场景。

爬虫审计

在burp的Dashboard中有两个任务选项，新建扫描和新建实时任务，如下图所示：

实时任务

实时任务分两种任务类型：实时诊断、实时被动爬虫。

实时诊断

对通过代理的所有流量进行实时分析和检测，检测都是通过官方POC进行验证。
我们可以通过设置扫描的配置信息来达到想要的效果，选择实时诊断任务-选择任务涵盖的工具范围-选择任务涵盖的网址范围-选择是否排除重复项。

在下面的scan configuration设置好后，我们需要进行扫描设置。

• 审计优化
  
• 要报告的问题
  
• 诊断期间处理应用处理
  
• 插入点类型
  

实时被动爬虫

我们可以将实时诊断任务与实时被动爬虫任务相结合，这样就能在访问网站的同时进行信息收集和实时诊断。爬虫收集到的信息会传到target中方便查看

扫描

有两种类型，爬取和诊断

爬取和诊断

爬虫和审计同时进行，主动请求网站进行审计。
设置时可对爬虫和审计分别进行设置，具体操作如下：

跟上面实时任务的类似：

爬取

也是像上面一样设置好后可以进行扫描