程序员经验分享-hwhale

利用Burp suit扫描漏洞

2023-11-04

利用Burp suit扫描漏洞

一、开始准备
1.1burp是利用本地代理抓取所传送的数据包的，所以我们要设置浏览器的代理。打开Firefox浏览器，在地址栏输入http://192.168.1.3/，回车进行访问。单击“选项”。如图1所示
在这里插入图片描述

                               图1

1.2切换到“高级”选项卡，单击“网络”->单击“设置”。在代理服务器下，勾选“手动配置代理”，地址设置为127.0.0.1，端口为8080，单击“确定”,如图2所示

在这里插入图片描述

                        图2

1.4双击Burp suite扫描器下的BurpLoader.jar,打开burp,切换到Proxy下的Options查看代理是否一致，可以看到Burp和浏览器的代理是一致的。如图3所示
在这里插入图片描述

                                 图3

1.5下面开始抓包，在浏览器刷新一下当前页面，可以看到浏览器一直在转，在Burp中，切换到Proxy下的Intercept，可以看到相关数据，说明我们已经抓到包了。如图4所示
在这里插入图片描述

                                图4

1.6单击右键，选择“Send to Spider”，开始爬取网站。如图5所示
在这里插入图片描述

                                 图5

1.7单击“Yes”。如图6所示
在这里插入图片描述

                                图6

1.8在Spider下的Control，我们可以看到当前爬取的状态为“Spider is Runing”。如图7所示
在这里插入图片描述

                                 图7

1.9在爬取的过程中可能会弹出如下界面，单击“Ignore from”。遇到类似的界面都进行同样的操作。如图8所示
在这里插入图片描述

                                图8

1.10一直单击Proxy–>Intercept下的Forward按钮，直到按钮变为灰色。切换到Target下的Site Map，可以这里看到刚才的网址，此外，还有该网站的Issues及其对应的Advisory等相关信息。如图9所示
在这里插入图片描述

                               图9

1.11右键http://192.168.1.3，选择主动扫描“Actively scan this host”。如图10所示
在这里插入图片描述

                                图10

1.12默认，单击“Next”。如图11所示
在这里插入图片描述

                               图11

1.13单击“OK”。如图12所示
在这里插入图片描述

                                   图12

1.14我们可以在Scanner下的Scan queue中看到扫描的进度。如图13所示
在这里插入图片描述

                                图13

1.15可以在Target下的Site map中看到扫描出来的结果，可以看到扫描出来的Issues中有跨站脚本攻击和明文密码传输两个严重漏洞。注意，需要等待一段时间才能得到扫描结果，所以请耐心等待。如图14所示
在这里插入图片描述

                                  图14
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

漏洞扫描

web安全

安全

利用Burp suit扫描漏洞 的相关文章

  • 通过一个寒假能学会黑客技术吗？看完你就知道了

    一个寒假能成为黑客吗 资深白帽子来告诉你 如果你想的是学完去美国五角大楼内网随意溜达几圈 想顺走一点机密文件的话 劝你还是趁早放弃 但是成为一名初级黑客还是绰绰有余的 你只需要掌握好渗透测试 Web安全 数据库 搞懂web安全防护 SQL注

  • CTF之逆向入门

    逆向工程 Reverse Engineering 又称反向工程 是一种技术过程 即对一项目标产品进行逆向分析及研究 从而演绎并得出该产品的处理流程 组织结构 功能性能规格等设计要素 以制作出功能相近 但又不完全一样的产品 逆向工程源于商业及

  • 一个寒假能学会黑客技术吗？看完你就知道了

    一个寒假能成为黑客吗 资深白帽子来告诉你 如果你想的是学完去美国五角大楼内网随意溜达几圈 想顺走一点机密文件的话 劝你还是趁早放弃 但是成为一名初级黑客还是绰绰有余的 你只需要掌握好渗透测试 Web安全 数据库 搞懂web安全防护 SQL注

  • 软件开发和网络安全哪个更好找工作？

    为什么今年应届毕业生找工作这么难 有时间去看看张雪峰今年为什么这么火就明白了 这么多年人才供给和需求错配的问题 在经济下行的今年 集中爆发 供给端 大学生越来越多 需求端 低端工作大家不愿去 高端岗位又太少 很多基础行业 比如机械 土木 所

  • SpiderFlow爬虫平台 前台RCE漏洞复现(CVE-2024-0195）

    0x01 产品简介 SpiderFlow是新一代爬虫平台 以图形化方式定义爬虫流程 以流程图的方式定义爬虫 不写代码即可完成爬虫 是一个高度灵活可配置的爬虫平台 0x02 漏洞概述 SpiderFlow爬虫平台src main java o

  • 掌握内网渗透之道，成为实战高手，看《内网渗透实战攻略》就够了

    文末送书 文末送书 今天推荐一本网络安全领域优质书籍 内网渗透实战攻略 文章目录 前言 如何阅读本书 目录 文末送书 前言 当今 网络系统面临着越来越严峻的安全挑战 在众多的安全挑战中 一种有组织 有特定目标 长时间持续的新型网络攻击日益猖

  • 【CTF必看】从零开始的CTF学习路线（超详细），让你从小白进阶成大神！

    最近很多朋友在后台私信我 问应该怎么入门CTF 个人认为入门CTF之前大家应该先了解到底 什么是CTF 而你 学CTF的目的又到底是什么 其次便是最好具备相应的编程能力 若是完全不具备这些能力极有可能直接被劝退 毕竟比赛的时候动不动写个脚本

  • 信号浪涌保护器的原理和行业应用方案

    信号浪涌保护器 Surge Protective Device 简称SPD 是一种用于限制信号线路中瞬态过电压和分泄浪涌电流的防雷装置 主要用于保护各类信号线路及设备的防雷安全 信号浪涌保护器的原理是利用气体放电管 压敏电阻 齐纳二极管等非

  • Web 安全漏洞之 OS 命令注入

    什么是 OS 命令注入 上周我们分享了一篇 Web 安全漏洞之 SQL 注入 其原理简单来说就是因为 SQL 是一种结构化字符串语言 攻击者利用可以随意构造语句的漏洞构造了开发者意料之外的语句 而今天要讲的 OS 命令注入其实原理和 SQL

  • J2EE常见面试题（一）

    StringBuilder和StringBuffer的区别 String 字符串常量 不可变 使用字符串拼接时是不同的2个空间 StringBuffer 字符串变量 可变 线程安全 字符串拼接直接在字符串后追加 StringBuilder

  • 白帽子如何快速挖到人生的第一个漏洞 | 购物站点挖掘商城漏洞

    本文针对人群 很多朋友们接触安全都是通过书籍 网上流传的PDF 亦或是通过论坛里的文章 但可能经过了这样一段时间的学习 了解了一些常见漏洞的原理之后 对于漏洞挖掘还不是很清楚 甚至不明白如何下手 可能你通过 sql labs 初步掌握了sq

  • 2024年金三银四网络安全考试试题

    2023年金三银四网络安全考试试题 1 关于数据使用说法错误的是 A 在知识分享 案例中如涉及客户网络数据 应取敏感化 不得直接使用 B 在公开场合 公共媒体等谈论 传播或发布客户网络中的数据 需获得客户书面授权或取敏感化 公开渠道获得的除

  • Android开发中常见安全问题和解决方案

    前言 开发APP时经常有问到 APP的安全怎么保障 应用程序被PJ了怎么办 手机被人捡去了怎么办 特别在号称 安全第一 风控牛逼 的银行系统内 移动产品安全性仍被持有怀疑态度 那我们来总结下APP安全的方向和具体知识 1 应用程序安全 2

  • 内网安全：隧道技术详解

    目录 隧道技术 反向连接技术 反向连接实验所用网络拓扑图及说明 网络说明 防火墙限制说明 实验前提说明 实战一 CS反向连接上线 拿下Win2008 一 使用转发代理上线创建监听器 二 上传后门执行上线 隧道技术 SMB协议 SMB协议介绍

  • 为什么我强烈推荐大学生打CTF！

    前言 写这个文章是因为我很多粉丝都是学生 经常有人问 感觉大一第一个学期忙忙碌碌的过去了 啥都会一点 但是自己很难系统的学习到整个知识体系 很迷茫 想知道要如何高效学习 这篇文章我主要就围绕两点 减少那些罗里吧嗦的废话 直接上干货 CTF如

  • 【无标题】

    大家都知道该赛项的规程和样题向来都是模棱两可 从来不说具体的内容 导致选手在备赛时没有头绪 不知道该怎么训练 到了赛时发现题目和备赛的时候完全不一样 那么本文将以往年信息安全管理与评估赛项经验来解读今年2023年国赛的规程 帮助选手们指明方

  • 【安全】简单解析统一身份认证：介绍、原理和实现方法

    深入解析统一身份认证 介绍 原理和实现方法 导语 统一身份认证是什么 统一身份认证的原理 统一身份认证的实现 结语 导语 随着互联网的发展和各种在线服务的普及 用户在不同的应用和平台上需要进行多次身份验证 为了简化用户的登录和减少重复操作

  • 【安全】Java幂等性校验解决重复点击（6种实现方式）

    目录 一 简介 1 1 什么是幂等 1 2 为什么需要幂等性 1 3 接口超时 应该如何处理 1 4 幂等性对系统的影响 二 Restful API 接口的幂等性 三 实现方式 3 1 数据库层面 主键 唯一索引冲突 3 2 数据库层面 乐

  • 【安全】使用docker安装Nessus

    目录 一 准备docker环境服务器 略 二 安装 2 1 搜索镜像 2 2 拉取镜像 2 3 启动镜像 三 离线更新插件 3 1 获取challenge 3 2 官方注册获取激活码 3 3 使用challenge码和激活码获取插件下载地址

  • 【安全】网络安全态势感知

    文章目录 一 态势感知简介 1 概念 2 形象举例 3 应具备的能力 二 为什么要态势感知 为什么网络安全态势感知很重要 三 态势感知系统的功能 四 如何评估态势感知的建设结果 五 什么是态势感知的三个层级 四 业界的态势感知产品 1 安全

随机推荐

  • 使用二分法实现在一个有序列表中查找指定的元素

    二分法是一种快速查找的方法 时间复杂度低 逻辑简单易懂 总的来说就是不断的除以2除以2 例如需要查找有序数组arr里面的某个关键字key的位置 那么首先确认arr的中位数或者中点center 下面分为三种情况 1假如arr center g

  • es多字段分组去重统计

    es多字段分组去重统计 oracle中sql select a1 b1 from dual group by a1 b1 或 select DISTINCT a1 b1 from dual es分组去重统计 话不多说 直接贴代码 Terms

  • 【云原生之kubernetes】kubernetes集群下ConfigMap使用方法

    云原生之kubernetes kubernetes集群下ConfigMap使用方法 一 ConfigMap介绍 1 ConfigMap介绍 2 ConfigMap特点 二 生成一个ConfigMap示例 1 命令生成 2 configmap

  • uboot学习之Makefile之配置过程

    uboot 1 1 6源码分析 分析配置过程 1 安装交叉编译工具arm linux gcc 否则编译报错 2 执行make canmb config MKCONFIG a canmb ppc mpc5xxx canmb 1 MKCONFI

  • 自动化测试入门

    1 初识自动化测试 如果以前没有做过自动化测试 那么就不了解自动化测试 可能会觉得自动化测试比较神秘 但是 我们在日常的计算机操作中 可能会碰到一些自动化处理的过程 这些过程和自动化测试比较接近 例如 Windows操作系统的控制面板中 有

  • windows 控制台通过密码连接redis

    Redis 访问密码设置 1 修改密码 打开redis conf文件 先使用字符匹配查找到requirepass foobared对应的位置 然后修改foobared成自己想要的密码 并删除当前行前面的 注释 然后保存退出 2 重启redi

  • Vulkan-NCNN 编译

    首先安装一些依赖 sudo install build essentials git cmake libprotobuf dev protobuf compiler libvulkan dev glslang tools vulkan to

  • 第28章　案例开发

    第28章 案例开发 视频讲解 23分钟 对于JavaScript初学者来说 尝试开发小型的难度适中的应用程序或游戏 能够培养学习乐趣 激发开发热情 本章将通过两个相对复杂的案例 帮助读者上机进行JavaScript实战训练 为日后的开发实习

  • Region拆分逻辑

    Table of Contents Region拆分 拆分前提 获取拆分点 执行拆分 回滚操作 Region拆分 Region的拆分逻辑是通过CompactSplitThread线程的requestSplit方法来触发的 每当执行Memst

  • 【论文阅读 - AAAI 2019】Abstractive Summarization: A Survey of the State of the Art

    Abstractive Summarization A Survey of the State of the Art Conference AAAI 2019 Authors Hui Lin Vincent Ng Human Languag

  • overpass-turbo下载铁路线

    overpass turbo This has been generated by the overpass turbo wizard The original search was road out json rel 198494 out

  • 打印 request 参数

    Enumeration parameterNames request getParameterNames while parameterNames hasMoreElements Object param parameterNames ne

  • Linux 命令总结

    目录操作 命令名 功能描述 使用举例 mkdir 创建一个目录 mkdir dirname rmdir 删除一个目录 rmdir dirname mvdir 移动或重命名一个目录 mvdir dir1 dir2 cd 改变当前目录 cd d

  • vue 绘制体温单与三测单组件 实现前端js打印

    更新 代码开源 https github com mydaoyuan my development 有帮助请帮忙点个 start 企鹅 1534815114 新上 麻醉单 和 患者时间轴 在下面地址就可以看到 新的一个版本完全重写了体温单

  • Windows无法与设备或资源（主DNS服务器）通信的解决方法

    前言 这几天 Windows更新后 连接的手机热点似乎出现了一些小问题 网络总是不稳定 而且浏览器等也出现上不了网的问题 解决方法 当电脑出现连接上WLAN后却无法上网的问题时 1 首先可以右键点击桌面右下角处的网络图标 在弹出的菜单中选择

  • java的inputstream_java中inputstream的使用

    java中的inputstream是一个面向字节的流抽象类 其依据详细应用派生出各种详细的类 比方FileInputStream就是继承于InputStream 专门用来读取文件流的对象 其详细继承结构如图 我们发现 是从抽象类InputS

  • 虚拟vpc服务器搭建,在AWS上搭建VPC三层架构的私有网络

    概述 这里使用的是aws的vpc 因为使用aws的该功能 需要账户绑定授权usd的信用卡 没有的话 就操作不了 用aws的好处是 很多功能是有限时间内是免费的 可以很好的拿来做练习 什么是vpc VPC Virtual Private Cl

  • 浅析Android如何从不同的层次保证安全性

    Android上的安全机制可以基本都是从两个方面来进行 1 应用沙盒2 权限约束 先了解一下基本知识 Android是一个分层操作系统 由个4层组成 分别是 Linux Kernel Native Userspace Android Fra

  • 用googletest写cpp单测

    框架概述 Google Test 也称为 googletest 是由 Google 开发的 C 单元测试框架 它的首个版本是在2004年发布的 作为 Google 内部的测试框架使用 随后 Google Test 在开源社区中得到广泛应用

  • 利用Burp suit扫描漏洞

    利用Burp suit扫描漏洞 一 开始准备 1 1burp是利用本地代理抓取所传送的数据包的 所以我们要设置浏览器的代理 打开Firefox浏览器 在地址栏输入http 192 168 1 3 回车进行访问 单击 选项 如图1所示 图1

热门标签