LabEx
登录免费加入

在 Burp Suite 中将请求发送到 Repeater

Beginner
立即练习

引言

Burp Suite 是一个用于 Web 应用安全测试的必备工具集。它最强大的功能之一是 Repeater 工具，该工具允许你手动编辑并重新发送单个 HTTP 请求，并分析应用程序的响应。这对于测试漏洞、确认发现以及理解应用程序逻辑至关重要。

在本实验中，你将学习将请求从 Burp 的 Proxy 历史记录发送到 Repeater 工具的基本但至关重要的工作流程。这是执行任何手动请求操作的第一步。

浏览目标应用程序

在此步骤中，你将启动 Burp Suite 并浏览一个简单的 Web 应用程序。此操作将生成 Burp 的 Proxy 可以拦截和记录的 HTTP 流量。

首先，让我们启动 Burp Suite。你可以在应用程序菜单中找到它，或者通过搜索来启动。打开后，选择临时项目（temporary project）选项，然后点击“Next”，再点击“Start Burp”。

接下来，打开实验环境中提供的 Web 浏览器。该浏览器已配置为通过 Burp Suite 代理发送其流量。

在浏览器地址栏中输入以下 URL 来导航到目标应用程序：

http://127.0.0.1:8000

你应该会看到一个简单的欢迎页面。这次交互现在已被 Burp Suite 记录。

在 Proxy > HTTP History 选项卡中查找请求

在此步骤中，你将在 Burp Suite 的 Proxy 历史记录中找到你刚刚发出的请求。所有通过代理的请求都会在此处记录，提供你浏览活动的完整日志。

将你的注意力从浏览器切换到 Burp Suite 窗口。

  1. 点击顶部的 Proxy 选项卡。
  2. 在 Proxy 选项卡中，点击 HTTP history 子选项卡。

你将看到一个列出浏览器发出的所有 HTTP 请求的表格。找到发往你的目标应用程序的请求。它将在 Host 列中显示 127.0.0.1，在 URL 列中显示 /。

##   Host          Method  URL   Params  Edited  Status  ...
----------------------------------------------------------
1   127.0.0.1     GET     /     No      No      200     ...
2   ...           ...     ...   ...     ...     ...     ...

点击表格中的此请求以选中它。你将在表格下方的面板中看到完整的请求和响应详情。

右键单击请求

在此步骤中，你将打开所选请求的上下文菜单。此菜单是与请求交互并将它们发送到其他 Burp Suite 工具进行进一步分析的主要方式。

在 HTTP history 表格中仍然选中 GET / 到 127.0.0.1 的请求后，在该行的任意位置右键单击。

将出现一个大型上下文菜单。此菜单包含你可以对请求执行的各种操作，例如：

  • Send to Repeater
  • Send to Intruder
  • Send to Sequencer
  • Do an active scan
  • Save item

在本实验中，我们对 Send to Repeater 选项感兴趣。

从上下文菜单中选择 'Send to Repeater'

在此步骤中，你将执行将捕获的请求发送到 Burp Repeater 工具的操作。

在上下文菜单仍然打开的情况下，将鼠标光标移到 Send to Repeater 选项上并单击它。

或者，你也可以使用键盘快捷键。选中请求后，只需按下 Ctrl+R。

此操作不会移动请求；它会复制请求。原始请求将保留在你的 Proxy 历史记录日志中。现在，一个副本已排队进入 Repeater 工具，准备供你使用。你可能会注意到 Burp Suite 窗口顶部的 Repeater 选项卡颜色发生了变化（例如，变为橙色），以指示它已收到新项目。

验证请求是否出现在新的 Repeater 选项卡中

在此步骤中，你将导航到 Repeater 工具并确认请求已成功到达。

单击 Burp Suite 窗口顶部的 Repeater 主选项卡。

你将看到 Repeater 界面，该界面分为两个主要面板：

  • 请求面板 (左侧): 此面板包含你刚刚发送的原始 HTTP 请求。你可以看到 GET / HTTP/1.1 行、Host: 127.0.0.1:8000 标头以及其他请求标头。整个面板都是可编辑的。
  • 响应面板 (右侧): 此面板最初是空的。在你发送请求后，它将显示服务器的响应。

确认左侧面板中的请求详细信息与你从 Proxy 历史记录中选择的请求相匹配。要完成这个流程，请单击位于请求面板顶部的 Send 按钮。服务器的响应随后将出现在右侧面板中。

你已成功将一个请求从 Proxy 移动到 Repeater，准备进行手动测试。

总结

在本实验中，你学习了有效使用 Burp Suite 的一项基本技能。你成功地使用 Proxy 捕获了一个 HTTP 请求，在 HTTP 历史记录中找到了它，并将其发送到 Repeater 工具进行手动分析。

这个工作流程——从 Proxy 到 Repeater——是无数网络安全测试的基础，它允许你即时修改请求，以探测 SQL 注入、跨站脚本 (XSS) 和不安全的直接对象引用等漏洞。恭喜你完成了掌握 Burp Suite 的这一关键步骤。