问题标签 [burp]

我启动了burp作为模拟器的代理，用于调试来自我的应用程序的 http 请求，并打开了拦截选项，并且在启动时我发现模拟器向GETgoogle 发送了一个请求：

并得到如下响应：

所以我想知道在启动时向谷歌提出这个请求是否有什么目的？

根据此处的说明，我已经安装了 burp，并设置了一个侦听器：http: //portswigger.net/burp/help/suite_gettingstarted.html

我现在正在尝试将 firefox 配置为使用 burp 侦听器作为代理。我已按照该页面上的说明进行操作。文档和我的设置方式之间的唯一区别是我使用了稍微不同的路径来访问代理设置。（编辑->首选项->高级->网络）

根据文档，我已将 http 代理设置为 127.0.0.1:8080。

当我发送请求时，第一个请求会到达 burp 侦听器。但是当我让它通过时，我在 Firefox 窗格中看到了这个

我已经非常仔细地查看了我的配置。我绝对确定我没有放弃'1'。

这里可能出了什么问题？

我正在使用burp 套件来拦截我使用插件 Advanced Rest Client 和由 Advanced Rest Client 调用的 sinatra 应用程序所做的调用。

我已经将它设置为我整个系统的代理，但它仍然只拦截 Chrome 的调用:(

任何想法？

我正在使用 Burp Tool 和 Firefox。

这就是攻击。

我以两种方式执行此攻击。

• 使用 Burp Suite 中继器工具。

  获取 /xssWebsite/?aParameter=<script>alert('XSS');</script>

  包括其他 http 标头。

  获取的响应包括<script>alert('XSS');</script>

• 当我尝试使用 Firefox 完成相同的操作时。

  Firefox 在发送请求之前对 URL 进行了编码，因此Response还包含未执行的编码脚本。

我们可以使用 burp 之类的工具来利用这种类型的 xss 攻击吗？

I have a Rails/Ember one-page app. Burp reports that

The value of the 'content_type' JSON parameter is copied into the HTML document as plain text between tags. The payload da80balert(1)4f31e was submitted in the content_type JSON parameter. This input was echoed unmodified in the application's response.

I can't quite parse this message referring to "is copied into" and "was submitted" in, but basically what is happening is:

1. A PUT or POST from the client contains ...<script>...</script>... in some field.
2. The server handles this request, and sends back the created object in JSON format, which includes the string in question
3. The client then displays that string, using the standard Embers/Handlebars {{content_type}}, which HTML-escapes the string and inserts it into the DOM, so the browser displays it on the screen as originally entered (and of course does NOT execute it).

So yes, the input was indeed echoed unmodified in the application's response. However, the application's response was not HTML, in which case there would indeed be a problem, but JSON, containing strings which when referred to by Handlebars will always be escaped properly for proper display in the browser.

So my question is, is this in fact a vulnerability? I have taken great care with my Ember app and can prove that no data from JSON objects is ever inserted "raw" into the DOM. Or is this a false positive given rise to by the mere fact the unescaped string may be found in the response if looked for using an unintelligent string comparison, not taking into account the fact that the JSON will be processed/escaped by the client-side framework?

To put it a different way, in a classic webapp spitting out HTML from the server, we know that user input such as the above must be escaped/sanitized properly. Unsanitized data "on the wire" in and of itself represents a vulnerability. However, in a one-page app based on JSON coming back from the server, the escaping/sanitization occurs in the client; the JSON on the "wire" may contain unsanitized data, and this is as expected. Am I missing something here?

我正在尝试将条带与我的网站集成。为了检测安全风险，我使用 Burp Suite。为此，我必须修改我的代理设置。

我在浏览器（谷歌浏览器）中设置了以下代理配置

现在，当我填写条纹表格并尝试购买时，出现以下错误

https://js.stripe.com/v2/抛出此错误

为什么我会收到此错误？我什至无法在浏览器中打开该 URL。顺便说一句，我能够打开其他网站，如谷歌。

设想 ：

我想在 burp 中记录功能，所以只需通过以下方式启用它：

选项选项卡 --> 其他选项卡 --> 日志记录

通过单击复选框，日志记录功能工作正常。

我的问题 ：

下次我打开 burp 时，我希望默认启用日志记录设置。我应该如何在配置文件中设置选项，以便我可以在从终端启动 burp 时传递它。

PS 我正在使用带有 Burp Pro v 1.6 的 Ubuntu-14.04（32 位）。ubuntu 中没有创建 burp.conf 文件。

非常感谢任何帮助。

当我没有连接到本地网络时，有没有办法使用 burp 套件连接到我的 PC 代理？

我想在其他地方使用我的代理。有没有办法做到这一点 ？

我正在尝试设置 Burp Suite，以便我可以篡改 HTTP 请求并对使用 Kerberos 进行身份验证的 .NET 应用程序运行安全漏洞扫描（即仅支持 Kerberos 的 Windows 集成身份验证）。为了在 IE 中正常访问应用程序，我使用凭据管理器将一组凭据添加到 Windows，然后在身份验证期间使用凭据。我设置了 Burp Suite 并可以看到它们从浏览器传递的请求/响应，但是我无法篡改中继器/扫描器中的请求，因为 Burp Suite 不会自动更新授权标头。

我知道 Fiddler 支持 Kerberos，所以我的想法是将 Burp 链接到 Fiddler。我首先确保我可以在 Fiddler 中进行篡改（使用此链接作为指南）。然后我将 Fiddler 设置为 Burp 的上游代理，但是当我在 Burp 中篡改请求时，在发出请求时仍然得到 401 Unauthorized。

关于如何让 Burp 进行 Kerberos 身份验证的任何其他想法？

我一直在尝试通过打嗝拦截android流量。我可以通过 burp 成功拦截所有 http 流量，但 https 没有被拦截。

以下是版本详情：

1. BurpSuite 1.6
2. Java 1.6
3. 安卓 4.4.2
4. 代理机器人 2.7.0

我遵循了以下步骤：

1. 安卓手机已经root了。
2. 在与我的笔记本电脑相同的网络中连接 Wifi，在连接到 wifi 时，我转到高级选项以使用代理 ip 作为笔记本电脑的 IP，端口为 8080。
3. 在 Android 设备中安装了 ProxyDroid，并启用了所有 HTTP 的全局代理到我的笔记本电脑的 IP 和端口为 8080。
4. 在我的笔记本电脑中，从 BurpSuite 下载 burp 证书，它是 cacert.der，将其转换为 .crt 格式，并通过设置 > 安全中的 sd 卡选项中的安装证书将其安装到我的手机中。证书已成功安装并显示“网络可能被持续监控警报”。它出现在用户选项卡下的受信任证书列表中。
5. 现在，当我通过手机浏览器打开任何 HTTP 站点时，它会成功打开并被我笔记本电脑中的 burp 拦截。
6. 但是当我从手机浏览器打开任何 HTTPS 站点时，它不会被拦截，并且 BurpSuite 警报选项卡中不会显示错误。该站点有时会成功打开，但有时不会。
7. 当我尝试浏览使用 HTTPS 协议的原生 android 应用程序时，它也没有被拦截，但显示“客户端无法协商到 DOMAIN:443 的 SSL 连接：握手期间远程主机关闭连接”。[ DOMAIN 是实际域名 ] 应用程序导致网络连接错误。

无论我尝试什么，我都无法摆脱这个问题。请帮我。