一、簡介：
Burp Suite 是用於攻擊web 應用程序的集成平臺。它包含了許多Burp工具，這些不同的burp工具通過協同工作，有效的分享信息，支持以某種工具中的信息爲基礎供另一種工具使用的方式發起攻擊。這些工具設計了許多接口，以促進加快攻擊應用程序的過程。所有的工具都共享一個能處理並顯示HTTP 消息，持久性，認證，代理，日誌，警報的一個強大的可擴展的框架。它主要用來做安全性滲透測試。
二、工具箱
1.Target(目標)——顯示目標目錄結構的的一個功能
10.Extender(擴展)——可以讓你加載Burp Suite的擴展，使用你自己的或第三方代碼來擴展Burp Suit的功能。
11.Options(設置)——對Burp Suite的一些設置
測試工作流程
Burp支持手動的Web應用程序測試的活動。它可以讓你有效地結合手動和自動化技術，使您可以完全控制所有的BurpSuite執行的行動，並提供有關您所測試的應用程序的詳細信息和分析。 讓我們一起來看看Burp Suite的測試流程過程吧。 如下圖
簡要分析
代理工具可以說是Burp Suite測試流程的一個心臟，它可以讓你通過瀏覽器來瀏覽應用程序來捕獲所有相關信息，並讓您輕鬆地開始進一步行動，在一個典型的測試中，偵察和分析階段包括以下任務：
手動映射應用程序-使用瀏覽器通過BurpSuite代理工作，手動映射應用程序通過以下鏈接，提交表單，並通過多步驟的過程加強。這個過程將填充代理的歷史和目標站點地圖與所有請求的內容，通過被動蜘蛛將添加到站點地圖，可以從應用程序的響應來推斷任何進一步的內容(通過鏈接、表單等)。也可以請求任何未經請求的站點(在站點地圖中以灰色顯示的)，並使用瀏覽器請求這些。
在必要是執行自動映射-您可以使用BurpSuite自動映射過程中的各種方法。可以進行自動蜘蛛爬行，要求在站點地圖未經請求的站點。請務必在使用這個工具之前，檢查所有的蜘蛛爬行設置。
使用內容查找功能發現，可以讓您瀏覽或蜘蛛爬行可見的內容鏈接以進一步的操作。
使用BurpSuite Intruder(入侵者)通過共同文件和目錄列表執行自定義的發現，循環，並確定命中。
注意，在執行任何自動操作之前，可能有必要更新的BurpSuite的配置的各個方面，諸如目標的範圍和會話處理。
分析應用程序的攻擊面 - 映射應用程序的過程中填入代理服務器的歷史和目標站點地圖與所有的BurpSuite已抓獲有關應用程序的信息。這兩個庫中包含的功能來幫助您分析它們所包含的信息，並評估受攻擊面的應用程序公開。此外，您可以使用BurpSuite的目標分析器報告的攻擊面的程度和不同類型的應用程序使用的URL 。
接下來主要介紹下BurpSuite的各個功能吧。先介紹Proxy功能，因爲Proxy起到一個心臟功能，所有的應用都基於Proxy的代理功能。
Burp Suite功能按鈕鍵翻譯對照
導航欄
|
|||
| Burp | BurpSuite | save state wizard | 保存狀態嚮導 |
| restore state | 恢復狀態 | Remember setting | 記住設置 |
| restore defaults | 恢復默認 | Intruder | 入侵者 |
| Start attack | 開始攻擊(爆破) | Actively scan defined insertion points | 定義主動掃描插入點 |
| Repeater | 中繼器 | New tab behavior | 新標籤的行爲 |
| Automatic payload positions | 自動負載位置 | config predefined payload lists | 配置預定義的有效載荷清單 |
| Update content-length | 更新內容長度 | unpack gzip/deflate | 解壓gzip/放棄 |
| Follow redirections | 跟隨重定向 | process cookies in redirections | 在重定向過程中的cookies |
| View | 視圖 | Action | 行爲 |
功能項
|
|||
| Target | 目標 | Proxy | 代理 |
| Spider | 蜘蛛 | Scanner | 掃描 |
| Intruder | 入侵者 | Repeater | 中繼器 |
| Sequencer | 定序器 | Decoder | 解碼器 |
| Comparer | 比較器 | Extender | 擴展 |
| Options | 設置 | Detach | 分離 |
| Filter | 過濾器 | SiteMap | 網站地圖 |
| Scope | 範圍 | Filter by request type | 通過請求過濾 |
| Intercept | 攔截 | response Modification | 響應修改 |
| match and replace | 匹配和替換 | ssl pass through | SSL通過 |
| Miscellaneous | 雜項 | spider status | 蜘蛛狀態 |
| crawler settings | 履帶式設置 | passive spidering | 被動蜘蛛 |
| form submission | 表單提交 | application login | 應用程序登錄 |
| spider engine | 蜘蛛引擎 | scan queue | 掃描隊列 |
| live scanning | 現場掃描 | live active scanning | 現場主動掃描 |
| live passive scanning | 現場被動掃描 | attack insertion points | 攻擊插入點 |
| active scanning optimization | 主動掃描優化 | active scanning areas | 主動掃描區域 |
| passive scanning areas | 被動掃描區域 | Payload | 有效載荷 |
| payload processing | 有效載荷處理 | select live capture request | 選擇現場捕獲請求 |
| token location within response | 內響應令牌的位置 | live capture options | 實時捕捉選項 |
| Manual load | 手動加載 | Analyze now | 現在分析 |
| Platform authentication | 平臺認證 | Upstream proxy servers | 上游代理服務器 |
| Grep Extrack | 提取 |