Dove posso trovare un tutorial BURP solido? [chiuso]

Oltre ai consigli su come utilizzare Burp, non dimenticare di personalizzare quanto segue:

Invio modulo:

Per impostare nomi e valori adatti per i moduli inviati da Burp, poiché presumo tu non voglia inviare "Weiner": -)

All'interno della finestra di Burp - vai alla scheda "Spider" e poi al menu "Opzioni". Da qui dovresti aggiornare i valori standard nella sezione moduli:

Faiclicsuciascunvaloreeseleziona"modifica", modifica il valore e quindi fai clic sul campo "aggiorna" prima di selezionare il valore successivo:

Caricoutile:

Puoianchemodificareipayloadpredefinitichesonousatiall'internodiBurp.Questopuòesserefattoscompattandoilfile.jar.Questoesempioutilizza7Zipperdecomprimerel'ultimofilediBurp.

Inprimoluogo,faiclicconilpulsantedestrodelmousesulfile.jareselezionaApricon7Zip.Questomostrerà:

Quindi apri burp\PayloadStrings\ :

Daquestacartella,selezionarefuzzing-full.pay.All'internodiquestofilevedraiopzionichepossonoessereconfigurateinbasealletueesigenzespecifiche(evidenziatenell'immagineseguente):

Spider:

Per lo spidering manuale, la pagina di aiuto di Burps ha il seguente consiglio:

passively spider as you browse - If checked, Burp Spider will process all HTTP requests made through Burp Proxy, to identify links and forms on web pages visited. Using this option can enable Burp Spider to build up a detailed picture of an application's contents even when you have only browsed a subset of that content with your browser, because all content that is linked from visited content is automatically added to the Suite site map.

Questo avviene visitando la scheda "Spider" e quindi selezionando la scheda "Opzioni":

In questo modo, controlli la generazione della mappa del sito senza inondare l'host di traffico.

Spero che questo aiuti.

Assolutamente assolutamente prendere il manuale di Web Application Hackers di Portswigger (autore di Burp), che è scritto sia come introduzione ai concetti rilevanti per il reverse / hacking di Web App, ma anche come guida passo-passo per l'applicazione questi concetti con Burp Suite.

Tieni presente che la seconda edizione è ora disponibile.

Una buona sequenza di esercitazioni che ho visto si trova su Security Ninja sito. Quel link ha ottenuto l'ultimo della serie (si concentra sulla scheda dello scanner) ma ci sono collegamenti agli altri da quella pagina.

Questo di SalesForce sembra a posto - un pochino di base se hai già usato il burp.

Nella versione 1.5, Burp contiene una solida guida integrata che può essere utilizzata come tutorial. È accessibile tramite Help -> Burp Suite Help