Web安全之BurpSuite抓取HTTPS请求

出现了问题，第一步要干什么呢？

固然是要去官方网站去找FAQ和help，先来练习一下英语

https://portswigger.net/burp/help/proxy_options_installingCAcert.html

 

注意思路，burp提供的是der格式的证书，必须得先导入到浏览器，而后从浏览器在导出cer格式的证书

 

测试环境

[+] JDK1.8.0_162

[+] Burp Suite 1.7.26

 

 

1、burp介绍

请自行参阅https://portswigger.net/burp/

在使用Burp site对HTTPS进行拦截时他会提示,你的链接不是私密链接或此链接不信任等,这是因为一般状况下burp默认只抓HTTP的包，HTTPS由于含有证书，于是没法正常抓取，抓HTTPS数据包就须要设置可信证书。

 

2、配置

一、配置浏览器代理（目前支持：IE、Firefox、Chrome、Safari、IPhone、Android）

拿Chrome为例: 设置---->显示高级设置---->网络---->更改代理服务器设置

 

--->点击局域网设置

--->输入好后点击肯定。

 

二、访问http://burp，下载burp的内置证书

--->下载以后

证书是cacert.der，后缀名是.der文件（证书的编码方式不同），这个文件不是常规的.cer的证书文件，下面就是让浏览器信任咱们刚才导出的证书。

 

三、导入证书

Chrome——设置——高级——HTTPS/SSL

--->点击管理证书,全部浏览器在安装PortSwiggerCA.crt证书时，必须安装到“受信任的根证书颁发机构”中

 

--->点击导入

--->下一步

--->下一步

--->下一步

--->点击完成

--->导入刚才的cacert.der文件，那么在服务器中就会存在“PortSwigger CA”这样的证书（burp的内置证书）、而后选中它进行导出

 --->下一步

 --->下一步

--->下一步

 

四、信任此证书

在证书机构中导入刚才的PortSwiggerCA.crt文件，并选择【信任使用此CA标识的网站】

--->点击导入

--->下一步

--->下一步

--->下一步

--->点击肯定、而后重启下、就好了、测试下访问:https://www.baidu.com/

 

 

--->还有种方法:

 

--->打开Burp site

--->选择第一个选项并保存在本地

 

--->点击NEXT、而后找到证书导入Chrome就好了。

 

3、抓HTTPS包

访问https://www.baidu.com/

 

正常访问。

 

4、其余浏览器及客户端设置

方法相似上面的【三】

注：

全部浏览器在安装PortSwiggerCA.crt证书时，必须安装到“受信任的根证书颁发机构”中

如：Chrome

 

 

参考1

参考2

参考3