LabEx
登录免费加入

在 Firefox 中安装 Burp CA 证书

Beginner
立即练习

引言

Burp Suite 是一款强大的代理工具，用于 Web 应用程序安全测试。它位于你的浏览器和目标 Web 服务器之间，允许你拦截、检查和修改双向传输的流量。

要检查经过加密的 HTTPS 流量，Burp Suite 必须对你自己的流量执行中间人（Man-in-the-Middle, MitM）攻击。它会中断与服务器的 TLS 连接，并与你的浏览器建立新的连接。为了让你的浏览器在不出现安全警告的情况下接受此新连接，它必须信任 Burp Suite 提供的证书。

在本实验中，你将学习如何将 Burp Suite 的独特证书颁发机构（CA）证书下载并安装到 Firefox 浏览器中。这是任何希望使用 Burp Suite 进行安全测试的人员必须掌握的基础设置步骤。

导航至已配置浏览器的 http://burpsuite

在此步骤中，你将启动 Burp Suite 和 Firefox，然后导航到一个特殊的 Burp Suite URL 以访问证书下载页面。实验环境中的 Firefox 已预先配置为使用 Burp Suite 作为其代理。

首先，你需要启动 Burp Suite。

  1. 点击桌面左上角的 "Applications" 菜单。
  2. 选择 "Other"，然后选择 "Burp Suite Community Edition"。
  3. 会出现一个对话框。你可以保留默认设置（"Temporary project"），然后点击 "Next"。
  4. 会出现另一个对话框。点击 "Start Burp"。

Burp Suite 运行后，打开 Firefox 浏览器。

  1. 点击屏幕底部应用程序坞（dock）中的 Firefox 图标。

在两个应用程序都运行的情况下，在 Firefox 中打开一个新标签页，然后在地址栏输入以下地址，然后按 Enter：

http://burpsuite

你应该会看到 Burp Suite 的欢迎页面。此页面直接由 Burp Suite 代理提供服务，并且只有在你的浏览器正确配置为使用它时才能访问。

下载 CA 证书文件

在此步骤中，你将从刚刚打开的欢迎页面下载 Burp CA 证书文件。

在 http://burpsuite 页面上，你会在右上角看到一个标有 "CA Certificate" 的链接。

  1. 点击 CA Certificate 链接。
  2. 会出现一个文件下载对话框。Firefox 会询问你如何处理该文件。
  3. 确保选中 "Save File" 选项，然后点击 "OK"。

浏览器将下载一个名为 cacert.der 的文件。默认情况下，它将被保存在 Downloads 目录中，该目录位于 /home/labex/Downloads。在接下来的步骤中，我们将需要此文件。

打开 Firefox 证书管理器

在此步骤中，你将通过 Firefox 设置打开证书管理器。这里是 Firefox 存储所有受信任证书的地方。

请在 Firefox 浏览器中仔细按照以下说明操作：

  1. 点击 Firefox 窗口右上角的应用程序菜单按钮（三条横线）。
  2. 在下拉菜单中，选择 Settings。
  3. 在打开的 Settings 标签页中，点击左侧导航窗格中的 Privacy & Security。
  4. 一直滚动到页面底部，直到找到 Certificates 部分。
  5. 点击 View Certificates... 按钮。

这将打开 "Certificate Manager" 窗口，其中包含 "Your Certificates"、"People"、"Servers" 和 "Authorities" 等多个标签页。

将下载的证书导入到“Authorities”选项卡

在此步骤中，你将导入之前下载的 cacert.der 文件。由于此证书充当证书颁发机构 (CA)，因此必须将其导入到 "Authorities" 选项卡中。

在你上一步打开的 "Certificate Manager" 窗口中：

  1. 确保你已选择 Authorities 选项卡。
  2. 点击窗口底部的 Import... 按钮。
  3. 会出现一个 "Open File" 对话框。默认情况下，它可能会在 ~/project 目录中打开。你需要导航到保存证书的 Downloads 目录。点击左侧窗格中的 Downloads。
  4. 选择 cacert.der 文件。
  5. 点击 Open 按钮。

点击 "Open" 后，会弹出一个新的对话框，要求你设置此证书的信任级别。我们将在下一步进行配置。

信任 PortSwigger CA 用于网站识别

这是最后也是最重要的一步。你必须明确告知 Firefox 信任导入的证书用于识别网站。这使得 Burp Suite 能够拦截 HTTPS 流量而不会导致浏览器错误。

在上一步选择 cacert.der 文件后，会弹出一个标题为 "Downloading Certificate" 的对话框。它会要求你为 "PortSwigger CA" 设置信任设置。

  1. 在此对话框中，勾选 Trust this CA to identify websites 旁边的复选框。
  2. 保持另一个复选框 ("Trust this CA to identify email users") 未勾选状态。
  3. 点击 OK 按钮保存信任设置。

证书现已安装。你应该能在证书管理器的 "Authorities" 选项卡中看到 "PortSwigger" 列为证书颁发机构。

  1. 点击 OK 关闭证书管理器窗口。
  2. 现在你可以关闭 Firefox 中的 Settings 标签页了。

你已成功安装 Burp CA 证书！

总结

在此实验中，你已完成一项使用 Burp Suite 的关键设置任务。你成功启动了 Burp Suite，使用 Firefox 下载了其独特的 CA 证书，并将该证书导入到浏览器的信任存储中。

通过信任 PortSwigger CA，你已配置 Firefox 允许 Burp Suite 作为中间人，从而能够为了安全测试目的拦截、查看和修改加密的 HTTPS 流量。这项技能对于任何从事 Web 应用程序安全工作的人来说都是基础。恭喜你完成此实验！