今天学习怎样使用burp suite 进行抓包操作。这是简易的流程当你安装了burp suite 并且完成了JAVA环境搭建和证书的申请后启动burp,并且将浏览器的代理调成burp开启拦截。这样一来浏览器所运行的包都会被你拦截。这引发出两个问题针对抓包操作1.抓包操作有什么用处2.抓包需要调节代理在对他人进行抓包的时候他人的软件未进行代理的更改那么怎样实现对他人抓包3.抓包后的操作应该是什么学习过程中提出仅作为目录针对第一个问题1.可以用来了解网络通信。2.可以进行web漏洞分析SQL注入XSS,越权文件上传身份认证漏洞3.API接口分析APP与服务器通信API请求格式JSON数据TOKEN的认证方式4.进行程序的调试开发人员通过抓包进行测试请求是否发送成功参数是否正确等5.比赛和企业安全分析针对第二个问题需要明确“抓包不一定需要系统代理重要的是让目标流量流经你能够观察到的位置”所以我们可以引出其他的抓包方式1.网络接口抓包使用wireshark等工具进行监听2.在网络出口或者授权网关上配置流量转发监控或透明代理3.客户端调试或测试环境针对第三个问题列举一条路径1.选取一条抓到的请求查看请求和响应2.右键请求选择sent to repeater3.点击repeater查看请求再点击sent重新发送请求4.对比响应结果分析参数变化和服务器行为5.记录测试结果分析有没有安全漏洞