burp(8)-ip伪造及爬虫审计

免责声明

学习视频来自 B 站up主泷羽sec,如涉及侵权马上删除文章。

笔记的只是方便各位师傅学习知识,以下代码、网站只涉及学习内容,其他的都与本人无关,切莫逾越法律红线,否则后果自负。

泷羽sec官网:https://longyusec.com/

泷羽sec B站地址:泷羽sec的个人空间-泷羽sec个人主页-哔哩哔哩视频

ip伪造

1、安装组件jython-standalone-2.7.0

下载地址: jython-standalone-2.7.0.jar
🔑 其作用是把 Python 代码转换成 Java 代码的编译器

2、安装fakeip.py

下载地址:burpFakeIP

3、使用方法
①、指定伪造 ip

输入后发送的请求就是你伪造的这个ip发出的请求

②、伪造本地 ip
③**、伪造随机ip(** 核心功能)
4、验证-伪造随机ip 发送请求

仅保留xff请求

转至intruder,将xff及密码设为payload

将payload1----payload type设为Extension-generate

选择已安装好的fackip

payload2设置为身份证后六位的字典

设置好后开始爆破

🔑 示例中的网站仅作演示使用,请不要作违法操作

爬虫审计

在burp的Dashboard中有两个任务选项,新建扫描和新建实时任务,如下图所示:

实时任务

实时任务分两种任务类型:实时诊断、实时被动爬虫

实时诊断

作用:对通过代理的所有流量进行实时分析和检测,检测都是通过官方POC进行验证

我们可以通过设置扫描的配置信息来达到想要的效果

选择实时诊断任务-选择任务涵盖的工具范围-选择任务涵盖的网址范围-选择是否排除重复项

设置好后,我们需要进行扫描设置

审计优化

对审计的速度、准确率进行设置

要报告的问题

可按扫描类型选择,也可选择单独的类型,对于一些要检测的问题不了解的还可以查看问题定义

诊断期间处理应用错误
插入点类型
操作参数位置
忽略插入点
常见插入点
其他插入点选项
JavaScript解析

设置完成保存即可

实时被动爬虫

作用:不会主动向目标服务器发送请求,而是通过监听流量来收集信息

设置方法同实时诊断相同

🔑 我们可以将实时诊断任务与实时被动爬虫任务相结合,这样就能在访问网站的同时进行信息收集和实时诊断。爬虫收集到的信息会传到target中方便查看

扫描

扫描任务有两种类型,"爬取和诊断"以及"爬取"

爬取和诊断

作用:爬虫和审计同时进行,主动请求网站进行审计

设置时可对爬虫和审计分别进行设置,具体操作如下:

审计设置方式同上述实时任务中的诊断设置方式相同

设置完成,保存即可

保存好后,即可对设置的URL进行爬取、审计操作

爬取

仅需对爬虫进行相关设置即可

🔑 扫描模块是专业版才能用,社区版用不了

相关推荐
粟悟饭&龟波功34 分钟前
【网络安全】四、中级篇:SQL注入详解
sql·安全·web安全
alex10011 小时前
Context Compliance Attack:大模型安全的新兴威胁与防御策略
网络·安全·web安全
粟悟饭&龟波功16 小时前
【网络安全】三、入门篇:Web安全常见漏洞概述
安全·web安全
大翻哥哥19 小时前
Python 2025:网络安全与智能防御新范式
安全·web安全
峥嵘life1 天前
Android16 adb投屏工具Scrcpy介绍
android·开发语言·python·学习·web安全·adb
猫耳君1 天前
汽车网络安全 CyberSecurity ISO/SAE 21434 测试之四
安全·web安全·网络安全·汽车·测试·security·cybersecurity
余防1 天前
XXE - 实体注入(xml外部实体注入)
xml·前端·安全·web安全·html
粟悟饭&龟波功2 天前
【网络安全】二、入门篇:HTTP 协议进阶 ——GET/POST 常用传参方法详解
安全·web安全·http
lingggggaaaa2 天前
小迪安全v2023学习笔记(九十讲)—— 小程序篇&反编译&外在&主包分包&配置泄露&算法逆向&未授权
笔记·学习·安全·web安全·网络安全·小程序
独行soc2 天前
2025年渗透测试面试题总结-90(题目+回答)
网络·python·安全·web安全·adb·渗透测试·安全狮