kali linux常用网络安全监控工具篇——Burp Suite，黑客/网安新手必看系列！
Burp Suite (简称 BP) 是一个专为 Web 应用安全测试打造的综合平台。它整合了多款工具，并设计了丰富的接口，旨在大幅提升应用渗透测试的效率。
从本节开始将为大家陆续带来BP各个模块的使用说明
1.1 中间人攻击
中间人攻击（Man-in-the-Middle Attack，简称MITM攻击）是一种“间接型”入侵方式。它的原理是借助多种技术，秘密安插一台由攻击者掌控的计算机，将其置于网络中两台正在通信的计算机之间。这台被插入的设备即被称为“中间人”。
1.2 核心功能—Proxy
数据是一切的基础
Proxy代理模块的核心功能在于捕获客户端与服务器间的HTTP通信交互
，并通过中间人代理机制为其他功能组件提供实时流量分析基础。Proxy模块如下图所示
Proxy模块由四个部分组成，分别是Intercept、HTTP history、Websockets history、options，接下来分别演示使用
2.1 Intercept
这个词学汇编和逆向的同学肯定是非常熟悉了，就是截断的意思；这里控制整个代理模块是否使用截断模式。
TIPS：在BP新版本中，增加了专用的浏览器方便进行渗透测试
如果是使用低版本的同学，可以在浏览器中手动设置网络代理
手动修改代理设置是一件很繁琐的事，这里推荐大家使用SwitchyOmega插件方便快速的切换代理设置
当截断模式处于关闭状态时，BP可以视为正常的代理服务器
反之，当截断模式处于开启状态下，所有符合条件的数据包都将被拦截等待处理
当拦截到新的数据包后，对应的标题会高亮显示，此时我们就可以对数据包进行修改了
修改完成后点击发送(Forward)将修改后的数据包发送(放包)，如果看着数据包不舒服可以点击丢弃(Drop)(弃包)
在行动(Action)一栏中存在很多选项，可以将proxy中的数据包发送至其他模块中
2.2 HTTP history
这里记录了每一个HTTP数据包，可以通过此功能查看历史数据包
点击过滤器可以设置过滤选项
在记录中可以查看每一个数据包的明细(请求和响应)，并可以发送到其他模块
2.3 Websockets history
该功能和HTTP history十分类似，实际中很少用到
查看历史数据包
设置过滤器
2.4 选项
该部分主要用于配置proxy，接下来逐个演示
- 代理监听器
可以理解为设置数据的来源，可以开启多个
- 拦截客户端请求
该部分用于配置请求数据包的拦截条件，支持多条规则同时匹配
现在增加一条规则：拦截所有目标IP为123.123.123.123的数据包
配置了多条规则后可以很方便的选择开关
自动更新Content-Length选项主要用于修改数据包后可以自动计算长度，在一部分情况下需要关闭该功能(比如像DOS)
- 服务器响应拦截和修改
该部分主要配置响应数据包的拦截条件及自动修改
注意：该功能默认是关闭的，需要手动开启
和请求拦截很类似，允许自定义拦截条件，同时还支持一些常用选项，比如删除JS的表单验证
- 匹配和替换
该选项允许对请求和响应中的数据进行自动查找和替换，十分有用
最后一定要记住！
网络安全不是「速成黑客」，而是守护数字世界的骑士修行。当你第一次用自己写的脚本检测出漏洞时，那种创造的快乐远胜于电影里的炫技。装上虚拟机，从配置第一个Linux环境开始，脚踏实地从基础命令学起，相信你一定能成为一名合格的黑客。
如果你觉得网络上那些学习资源对你帮助不大，可以去看看我整理的全套网络攻防教程**（从0到进阶）**，市场上主流的攻击和防御的技术都讲的清清楚楚（文末自取），完整的学完不管是打比赛就业还是挖漏洞都足够了。
学习资源
为了帮助大家更好的塑造自己，成功转型，我给大家准备了一份网络安全入门/进阶学习资料，里面的内容都是适合零基础小白的笔记和资料，不懂编程也能听懂、看懂这些资料！
网络安全/黑客零基础入门
【----帮助网安学习，以下所有学习资料文末免费领取！----】
> ① 网安学习成长路径思维导图
> ② 60+网安经典常用工具包
> ③ 100+SRC漏洞分析报告
> ④ 150+网安攻防实战技术电子书
> ⑤ 最权威CISSP 认证考试指南+题库
> ⑥ 超1800页CTF实战技巧手册
> ⑦ 最新网安大厂面试题合集（含答案）
> ⑧ APP客户端安全检测指南（安卓+IOS）
大纲
首先要找一份详细的大纲。
学习教程
第一阶段：零基础入门系列教程
该阶段学完即可年薪15w+
第二阶段：技术入门
弱口令与口令爆破
XSS漏洞
CSRF漏洞
SSRF漏洞
XXE漏洞
SQL注入
任意文件操作漏洞
业务逻辑漏洞
该阶段学完年薪25w+
阶段三：高阶提升
反序列化漏洞
RCE
综合靶场实操项目
内网渗透
流量分析
日志分析
恶意代码分析
应急响应
实战训练
该阶段学完即可年薪30w+
面试刷题
最后，我其实要给部分人泼冷水，因为说实话，上面讲到的资料包获取没有任何的门槛。
但是，我觉得很多人拿到了却并不会去学习。
大部分人的问题看似是“如何行动”，其实是“无法开始”。
几乎任何一个领域都是这样，所谓“万事开头难”，绝大多数人都卡在第一步，还没开始就自己把自己淘汰出局了。
如果你真的确信自己喜欢网络安全/黑客技术，马上行动起来，比一切都重要。
资料领取
上述这份完整版的网络安全学习资料已经上传网盘，朋友们如果需要可以微信扫描下方二维码 ↓↓↓或者点击以下链接都可以领取
点击领取 《网络安全&黑客&入门进阶学习资源包》
文章来自网上，侵权请联系博主
本文转自 https://blog.csdn.net/yy17111342926/article/details/155771803?spm=1001.2014.3001.5502，如有侵权，请联系删除。
