Web安全之BurpSuite抓取HTTPS請求

出現了問題，第一步要幹什麼呢？

固然是要去官方網站去找FAQ和help，先來練習一下英語

https://portswigger.net/burp/help/proxy_options_installingCAcert.html

 

注意思路，burp提供的是der格式的證書，必須得先導入到瀏覽器，而後從瀏覽器在導出cer格式的證書

 

測試環境

[+] JDK1.8.0_162

[+] Burp Suite 1.7.26

 

 

1、burp介紹

請自行參閱https://portswigger.net/burp/

在使用Burp site對HTTPS進行攔截時他會提示,你的鏈接不是私密鏈接或此鏈接不信任等,這是因爲一般狀況下burp默認只抓HTTP的包，HTTPS由於含有證書，於是沒法正常抓取，抓HTTPS數據包就須要設置可信證書。

 

2、配置

一、配置瀏覽器代理（目前支持：IE、Firefox、Chrome、Safari、IPhone、Android）

拿Chrome爲例: 設置---->顯示高級設置---->網絡---->更改代理服務器設置

 

--->點擊局域網設置

--->輸入好後點擊肯定。

 

二、訪問http://burp，下載burp的內置證書

--->下載以後

證書是cacert.der，後綴名是.der文件（證書的編碼方式不同），這個文件不是常規的.cer的證書文件，下面就是讓瀏覽器信任咱們剛纔導出的證書。

 

三、導入證書

Chrome——設置——高級——HTTPS/SSL

--->點擊管理證書,全部瀏覽器在安裝PortSwiggerCA.crt證書時，必須安裝到「受信任的根證書頒發機構」中

 

--->點擊導入

--->下一步

--->下一步

--->下一步

--->點擊完成

--->導入剛纔的cacert.der文件，那麼在服務器中就會存在「PortSwigger CA」這樣的證書（burp的內置證書）、而後選中它進行導出

 --->下一步

 --->下一步

--->下一步

 

四、信任此證書

在證書機構中導入剛纔的PortSwiggerCA.crt文件，並選擇【信任使用此CA標識的網站】

--->點擊導入

--->下一步

--->下一步

--->下一步

--->點擊肯定、而後重啓下、就好了、測試下訪問:https://www.baidu.com/

 

 

--->還有種方法:

 

--->打開Burp site

--->選擇第一個選項並保存在本地

 

--->點擊NEXT、而後找到證書導入Chrome就好了。

 

3、抓HTTPS包

訪問https://www.baidu.com/

 

正常訪問。

 

4、其餘瀏覽器及客戶端設置

方法相似上面的【三】

注：

全部瀏覽器在安裝PortSwiggerCA.crt證書時，必須安裝到「受信任的根證書頒發機構」中

如：Chrome

 

 

參考1

參考2

參考3