一、Burp suite 简介
BurpSuite是进行Web应用安全测试集成平台。它将各种安全工具无缝地融合在一起，以支持整个测试过程中，从最初的映射和应用程序的攻击面分析，到发现和利用安全漏洞。Burpsuite结合先进的手工技术与先进的自动化，使你的工作更快，更有效，更有趣。
Burpsuite的模块几乎包含整个安全测试过程，从最初对目标程序的信息采集，到漏洞扫描及其利用，多模块间高融合的配合，使得安全测试的过程更加高效。
现已更新到了2.0版本，相对于原由 的1.0版本有了较大变化。
二、Burp suite常用模块
- dashboard：仪表盘，用于显示任务、日志信息
- Target: 提供显示目标目录结构的功能
- Proxy:拦截HTTP/s请求的代理服务器，作为web浏览器与服务器的中间人，允许拦截、修改数据流
- intruder：入侵模块，提供高精度的可配置工具，可进行爆破攻击、获取信息以及使用fuzzing技术探测漏洞等
- repeater：中继器，通过手动来触发单词HTTP请求，并分析应用程序的响应包
- sequence：会话模块，用于分析那些不可预知的应用程序会话令牌和重要数据的随机性的工具。
- decoder：解码器
- compare：对比模块，对数据进行差异化分析
- extender:拓展模块，可以加载BP拓展模块和第三方代码
- option：设置模块，可以设置项目、用户等信息。
三、Proxy代理模块
代理模块作为BurpSuite的核心功能，拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许拦截，查看，修改在两个方向上的原始数据流。
module1：intercept
用于显示和修改HTTP数据流，可以通过右键将信息发送到其他模块进行快速处理。
顶部有四个选项，分别是：
- Forward：发送数据
- Drop：丢弃这个数据包
- Intercept is on/off：打开或关闭代理
- Action:功能菜单，与右键内容相同
module2：http history
记录了http代理的历史信息。
module3：websocket history
这个版块用于记录WebSockets的数据包，是HTML5中最强大的通信功能，定义了一个全双工的通信信道，只需Web上的一个 Socket即可进行通信，能减少不必要的网络流量并降低网络延迟。
module4：Options
该版块主要用于设置代理监听、请求和响应，拦截反应，匹配和替换，ssl等。
四、 Intruder 爆破模块
Burp intruder是一个强大的工具，用于自动对Web应用程序自定义的攻击。它可以用来自动执行您的测试过程中可能出现的所有类型的任务。例如目录爆破，注入，密码爆破等。
module1：Target
用于配置目标服务器的相关攻击信息。
module2：option
设置Payloads的插入点以及攻击类型（攻击模式）。
attack type:表示设置攻击模式，一共有四种：
- sniper：对单一变量进行一次破解
- battering ram：对多变量同时进行破解。
- pitchfork：每一个变量标记对应一个字典，取每个字典的对应项。
- cluster bomb：每个变量对应一个字典，并且进行交集破解，尝试各种组合
module3 ：payload
用于设置字典。
- payload Sets：
- payload set: 指定需要配置的变量
- payload type: 指定payload的类型，主要有以下几种：
- simple list:简单字典
- runtime file:运行文件
- custom iterator:自定义迭代器
- number：数字组合
- dates:日期组合
- brute force:暴力破解
- character blocks:字符快
- payload option：设置payload的具体内容
module4：options
选项卡包含了request headers，request engine，attack results ，grep match，grep_extrack，grep payloads和redirections。可以发动攻击之前，在主要Intruder的UI上编辑这些选项，大部分设置也可以在攻击时对已在运行的窗口进行修改。
五、repeater重放模块
该模块常常用于重放测试和上传绕过。
Repeater是用于手动操作和发送个别HTTP请求，并分析应用程序的响应一个简单的工具。可以发送一个内部请求从Burp任何地方到Repeater，修改请求并且发送。
可以分别对原始数据信息进行修改，也可以对数据的十六进制信息进行修改。
六、Decoder模块
将原始数据转换成各种编码和哈希表的简单工具。它能够智能地识别多种编码格式采用启发式技术。
decoder as :
对数据进行解码，支持的解码类型有：
1.Url 2.HTML 3.Base64 4.ASCII码 5.Hex（十六进制） 6.octal（八进制） 7.binary(二进制) 8.GZIP - hash：支持的hash算法：1.SHA-384 2.SHA-224 3.SHA-256 4.MD2 5.SHA 6.SHA-512 7.MD5
encode as：
对数据进行编码