Repeater

Burp Repeater(中繼器)是用于手動操作和補(bǔ)發(fā)個別HTTP請求，并分析應(yīng)用程序的響應(yīng)一個簡單的工具铐然。您可以發(fā)送一個內(nèi)部請求從Burp任何地方到Repeater(中繼器)，修改請求并且發(fā)送它雷逆。

Using Burp Repeater

您可以使用中繼器用于各種目的富拗，如改變參數(shù)值來測試輸入為基礎(chǔ)的漏洞，發(fā)出以特定的順序要求侣颂，以測試邏輯缺陷，并可以多次重發(fā)從Burp Scanning results(掃描結(jié)果)的要求手動驗證報告的問題枪孩。

For example:

1)可以從Proxy history憔晒、site map、Scanner result里地項目地址詳情發(fā)送到repeater蔑舞，可以對頁面數(shù)據(jù)進(jìn)行修改拒担。?

2)點擊go，發(fā)送請求斗幼，右邊響應(yīng)請求澎蛛。?

3)可以通過“<“和”>“來返回上一次和下一個操作。?

4)單擊”x“可以刪除當(dāng)前測試請求頁面蜕窿，.....表示打開新的標(biāo)簽頁?

5)底部的功能用于搜索條件谋逻，可以用正則表達(dá)式，底部右邊顯示匹配結(jié)果數(shù)?

Issuing Requests

主中繼器的用戶界面可讓您在多個不同的請求同時工作桐经，每一個在它自己的標(biāo)簽毁兆。當(dāng)你發(fā)送請求到中繼器，每一件都是在自己的編號標(biāo)簽打開阴挣。

每個選項卡都包含以下項目：

控制發(fā)出請求气堕，然后瀏覽請求的歷史。目標(biāo)服務(wù)器的請求將被發(fā)送顯示 - 你可以點擊目標(biāo)細(xì)節(jié)來改變這些畔咧。

HTTP消息中包含的編輯器將發(fā)出的請求茎芭。您可以編輯該請求，并一遍又一遍地重新發(fā)布它誓沸。

HTTP消息編輯器梅桩，顯示從上次發(fā)出的請求接收到的響應(yīng)。

開始與中繼器工作的最簡單的方法是選擇要在另一個burp工具（如Proxy history或site map）工作的要求拜隧，并在上下文菜單中使用“Send to Repeater(發(fā)送到轉(zhuǎn)發(fā)器)”選項宿百。這將在中繼器創(chuàng)建一個新的請求選項卡，并自動填充目標(biāo)細(xì)節(jié)和請求消息的編輯器相關(guān)的細(xì)節(jié)洪添。然后垦页，您可以修改并發(fā)出所需的要求。當(dāng)你的要求準(zhǔn)備好發(fā)送干奢，點擊“go(轉(zhuǎn)到)”按鈕痊焊，將其發(fā)送到服務(wù)器。當(dāng)這個被接收時，與響應(yīng)長度和一個計時器（以毫秒為單位）一起被顯示的響應(yīng)薄啥。您可以使用通常的HTTP消息的編輯功能貌矿，以幫助分析請求和響應(yīng)消息，并開展進(jìn)一步的行動罪佳。

Request History

每個中繼器選項卡維護(hù)其自身已在它的請求的歷史。您可以點擊“ <”和“ > ”按鈕來向前和向后導(dǎo)航這段歷史黑低，并查看每個請求和響應(yīng)赘艳。您也可以使用下拉按鈕以顯示歷史相鄰項的編號列表，并迅速轉(zhuǎn)移給他們克握。在歷史上的任何時候蕾管，你可以編輯和重新發(fā)布當(dāng)前顯示的請求。

Repeater Options

Burp Repeater具有控制其行為的各種選項菩暗，包括自動更新的Content- Length頭的掰曾，拆包的壓縮內(nèi)容，和重定向的下面停团。你可以通過Repeater(中繼器)菜單訪問這些選項旷坦。

Managing Request Tabs

您可以輕松地管理Repeater的request(請求)選項卡。您可以：

通過雙擊該選項卡頭重命名標(biāo)簽佑稠。

通過拖動重新排列標(biāo)簽秒梅。

通過單擊最右側(cè)的“...”選項卡上打開一個新的標(biāo)簽。

關(guān)閉選項卡單擊該選項卡標(biāo)題中的X按鈕舌胶。

Options

直放站菜單控制的burpRepeater的行為方面捆蜀。下列選項可用：

Update Content-length

該選項控制Burp是否自動更新的要求在必要的Content-Length頭。使用這個選項通常是必不可少的幔嫂，當(dāng)請求消息中包含一個身體辆它。

Unpack gzip/deflate

該選項控制Burp是否自動解壓縮在收到的答復(fù)的gzip和deflate壓縮內(nèi)容。

Follow redirections

此設(shè)置控制是否重定向響應(yīng)會被自動執(zhí)行履恩。下列選項可用：

1)Never - 中繼器將不會跟隨任何重定向锰茉。?

2)On-site only - 中繼器將只跟隨重定向到同一個網(wǎng)頁“site”，即使用相同的主機(jī)似袁，端口和協(xié)議的是在原始請求使用的URL洞辣。?

3)In-scope Only - 中繼器將只跟隨重定向到該套件范圍的目標(biāo)范圍之內(nèi)的URL。?

4)Always - 中繼器將跟隨重定向到任何URL任何責(zé)任昙衅。您應(yīng)使用此選項時應(yīng)謹(jǐn)慎 - 偶爾扬霜，Web應(yīng)用程序在中繼重定向到第三方的請求參數(shù)，并按照重定向你可能會不小心攻擊你不想要的而涉。

Process cookies in redirections

如果選擇此選項著瓶，然后在重定向響應(yīng)設(shè)置任何cookies將被當(dāng)重定向目標(biāo)之后重新提交。

View

此子菜單允許您配置了請求/響應(yīng)面板的布局啼县。您可以在頂部/底部材原，左/右拉開沸久，或在選項卡中查看HTTP消息。

Action

此子菜單包含相同的選項余蟹，可在通過請求和響應(yīng)消息編輯器的上下文菜單卷胯。

Sequencer

Burp Sequencer是一種用于分析數(shù)據(jù)項的一個樣本中的隨機(jī)性質(zhì)量的工具。你可以用它來測試應(yīng)用程序的session tokens(會話tokens)或其他重要數(shù)據(jù)項的本意是不可預(yù)測的威酒，比如反彈CSRFtokens窑睁，密碼重置tokens等。

Using Burp Sequencer

Burp Sequencer是一種用于分析在應(yīng)用程序的會話tokens葵孤，并且意圖是不可預(yù)測的其他重要數(shù)據(jù)項的隨機(jī)性質(zhì)量的工具担钮。

使用Sequencer可能會導(dǎo)致在某些應(yīng)用中意想不到的效果。直到你完全熟悉它的功能和設(shè)置尤仍，你應(yīng)該只使用Burp Sequencer對非生產(chǎn)系統(tǒng)箫津。

要開始去了解Burp Sequencer，執(zhí)行以下步驟：

1)首先宰啦，確保Burp已安裝并運(yùn)行苏遥，您已配置您的瀏覽器Burp的工作，并且您已經(jīng)瀏覽你的目標(biāo)應(yīng)用程序來填充你的代理服務(wù)器的歷史绑莺。?

2)發(fā)現(xiàn)發(fā)出會話tokens或其他類似的項目暖眼，無論是在Set-Cookie頭，在一個表單域纺裁，或其他地方的代理史上的一個回應(yīng)诫肠。使用上下文菜單中發(fā)送的內(nèi)容到Sequencer。?

3)轉(zhuǎn)到Sequencer選項卡欺缘，然后再選擇“l(fā)ive capture(現(xiàn)場捕獲請求)”栋豫，選擇你剛才發(fā)送的項目。

4)在“Token Location Within Response(tokens位置在回應(yīng))”部分谚殊，選擇在tokens出現(xiàn)的響應(yīng)的位置丧鸯。如果標(biāo)記出現(xiàn)在自定義位置（即不是在一個Set-Cookie頭或表單域） ，然后選擇“Custon location(自定義位置)”選項，然后在對話框中，選擇響應(yīng)tokens铭腕，然后單擊“確定” 他匪。

5)在“Select live Captrue Request(選擇現(xiàn)場捕獲請求)”部分中据忘，單擊“Start live capture(開始實時捕獲)”按鈕。這將導(dǎo)致Burp反復(fù)發(fā)出原始請求，并extract(提取)所有在響應(yīng)收到的tokens。實時捕獲會話打開一個新窗口杠步，顯示捕獲的進(jìn)度，并已獲得的tokens數(shù)量。當(dāng)幾百tokens已獲得幽歼，暫停實時捕獲會話朵锣，然后單擊“Analyze now(立即分析)”按鈕。?

6)當(dāng)分析完成后甸私，會顯示出隨機(jī)性測試的結(jié)果诚些。這表明樣品中整體摘要，并附有詳細(xì)的結(jié)果為每種類型進(jìn)行了測試皇型。有簡短的文檔泣刹，結(jié)果自己在每個測試。在某些情況下犀被，你可能已經(jīng)獲得tokens的一個合適的樣本。您可以手動加載此樣品為Sequnecer外冀，并執(zhí)行相同的分析寡键。要做到這一點，在主burp的UI 雪隧，轉(zhuǎn)到序選項卡西轩，然后手動加載子選項卡。您可以從剪貼板粘貼標(biāo)記脑沿，或從文件中加載它們藕畔，并使用“Analyze now(立即分析)”按鈕，開始裝載樣品的分析庄拇。

Randomness Tests

Burp Sequencer采用標(biāo)準(zhǔn)統(tǒng)計測試的隨機(jī)性注服。這些都是基于對測試的證據(jù)試樣的假設(shè)，并計算發(fā)生的觀測數(shù)據(jù)的概率措近，假設(shè)該假說是真實的原則：

Character-Level Analysis

字符級測試在其原始形式tokens的每個字符位置進(jìn)行操作溶弟。首先，字符設(shè)置在每個位置的大小進(jìn)行計數(shù)- 這是出現(xiàn)在每個位置上的取樣數(shù)據(jù)中的不同的字符的數(shù)目瞭郑。然后辜御，下面的測試是使用此信息來進(jìn)行：

Character count analysis?- 此測試可分析tokens內(nèi)使用在各位置中的字符分配。如果樣品是隨機(jī)生成的屈张，所用的字符的分布可能是近似均勻的擒权。在每個位置上，該測試計算阁谆，如果tokens是隨機(jī)產(chǎn)生所觀察到的分布的概率碳抄。?Character transition analysis?- 此測試可分析樣品中的連續(xù)符號之間的轉(zhuǎn)換。如果樣品是隨機(jī)生成的笛厦，一個字符出現(xiàn)在一個給定的位置纳鼎，同樣可能被隨后的下一個標(biāo)記由一個用于在該位置上的字符中的任何一個。在每個位置上，該測試計算贱鄙，如果tokens是隨機(jī)產(chǎn)生的觀察到的轉(zhuǎn)換的概率劝贸。

基于上述試驗，character-level analysis(字符級分析)計算整體分?jǐn)?shù)逗宁，每個字符位置 - 這是在每個位置由每個字符級測試的計算的最低概率映九。分析然后計數(shù)的有效熵各種顯著性水平的位的數(shù)目。根據(jù)它的字符集的大小瞎颗，每個位置被分配一個號碼的比特（如果有4個字符件甥，3位，如果有8個字符等2位）哼拔，并且比特的總數(shù)等于或高于每顯著性水平進(jìn)行計算引有。

Bit-Level Analysis

Bit-level test(位級測試)是比字符級測試功能更強(qiáng)大。啟用位級的分析倦逐，每個tokens被轉(zhuǎn)換成一組比特譬正，與由字符集的每個字符位置的大小來確定的比特的總數(shù)。如果任何職位聘用檬姥，其大小不是2的圓形電源的字符集曾我，在該位置的樣本數(shù)據(jù)被轉(zhuǎn)換成其大小是兩個最接近的較小的圓形電源的字符集。在該位置的數(shù)據(jù)的部分比特被有效地合并成從該位置所產(chǎn)生的全部位健民。這個翻譯是在被設(shè)計為保留原始樣本的隨機(jī)性特點抒巢，不會引入或移除任何偏見的方式進(jìn)行。然而秉犹，這種類型的沒有進(jìn)程可以是完美的蛉谜，它很可能與分析非圓字符集大小的樣本將介紹一些不準(zhǔn)確到分析結(jié)果的過程。當(dāng)每個tokens已被轉(zhuǎn)換成一個比特序列崇堵，下面的測試是在每個位的位置進(jìn)行：

FIPS monobit test?- 此測試分析的1和0的每個位的位置分布悦陋。如果樣品是隨機(jī)產(chǎn)生的，1和0中的數(shù)量很可能是近似相等的筑辨。在每個位置上測試計算俺驶，如果tokens是隨機(jī)產(chǎn)生所觀察到的分布的概率。對于每一個進(jìn)行的棍辕，除了報告中出現(xiàn)的觀測數(shù)據(jù)的概率FIPS測試暮现，Burp Sequncer也記錄是否每一位通過或失敗的FIPS測試。請注意楚昭，通過FIPS標(biāo)準(zhǔn)重新調(diào)整Burp Sequencer內(nèi)任意樣本量的工作栖袋，而正式規(guī)范的FIPS測試假定恰好20,000tokens的樣本。因此抚太，如果你希望得到的結(jié)果是嚴(yán)格符合FIPS規(guī)范塘幅，你應(yīng)該確保你使用的20,000tokens的樣本昔案。

FIPS poker test?- 該測試將所述位序列中的每一個位置轉(zhuǎn)換成的四個連續(xù)的，非重疊的組电媳，并導(dǎo)出一個4位的數(shù)量從每個組踏揣。然后計算每個出現(xiàn)16個可能的數(shù)字的數(shù)，并進(jìn)行卡方計算來評估這樣的分布匾乓。如果樣品是隨機(jī)生成的捞稿，四比特數(shù)的分布可能是近似均勻的。在每個位置上拼缝，該測試計算娱局，如果tokens是隨機(jī)產(chǎn)生所觀察到的分布的概率。

FIPS runs tests - 該測試將所述位序列中的每一個位置轉(zhuǎn)換成連續(xù)的位具有相同值的運(yùn)行咧七。然后計算試驗次數(shù)為1衰齐，2，3继阻，4娇斩，5，和6及以上的長度穴翩。如果樣品是隨機(jī)生成的，運(yùn)行與每個這些長度的數(shù)量很可能是由樣本集的大小所確定的范圍之內(nèi)锦积。在每個位置上芒帕，該測試計算發(fā)生，如果tokens是隨機(jī)觀察到的運(yùn)行的概率丰介。

FIPS long runs test?- 這個測試測量位在每個位的位置值相同的最長運(yùn)行背蟆。如果樣品是隨機(jī)生成的，最長的運(yùn)行很可能是由樣本集的大小所確定的范圍之內(nèi)哮幢。在每個位置上带膀，該測試計算，如果tokens是隨機(jī)產(chǎn)生所觀察到的最長的概率橙垢。需要注意的是符合FIPS規(guī)范這個測試僅記錄失敗垛叨，如果位的最長過于漫長。然而柜某，位過于短最長也表明嗽元，樣品是不是隨機(jī)的。因此喂击，某些位可能錄得顯著性水平是低于FIPS傳遞剂癌，即使他們沒有嚴(yán)格失敗的FIPS檢驗水平。

Spectral tests?- 該測試執(zhí)行在每個位置上的比特序列的復(fù)雜的分析翰绊，并能夠識別非隨機(jī)性的證據(jù)表明佩谷，通過其他的統(tǒng)計測試的一些樣品中旁壮。測試工程通過比特序列以及將每個系列的連續(xù)的數(shù)字作為一個多維空間的坐標(biāo)。它繪出的點在此空間由這些坐標(biāo)來確定每個位置谐檀。如果樣品是隨機(jī)生成的抡谐，點此空間內(nèi)的分布可能是大致均勻;在該空間內(nèi)聯(lián)網(wǎng)的外觀表示該數(shù)據(jù)很可能是不隨機(jī)的。在每個位置稚补，測試童叠，計算所觀察到的分布存在的，如果tokens是隨機(jī)的概率课幕。該試驗重復(fù)進(jìn)行多種尺寸的數(shù)目（1?8位）和用于多個號碼的尺寸（2至6）厦坛。

Correlation test?- 其他各個位級測試工作在采樣tokens中的各個位的位置，所以隨機(jī)性的每個位的位置量計算隔離乍惊。僅執(zhí)行這種類型的測試將防止隨機(jī)性的tokens作為一個整體金額的任何有意義的評估：包含在每個位置相同的位值標(biāo)記的樣本可能會出現(xiàn)含有比含有不同的值更短的標(biāo)記的樣品更多的熵在每個位置上杜秸。因此，有必要以測試在tokens內(nèi)的不同的位位置中的值之間的任何統(tǒng)計學(xué)顯著關(guān)系润绎。如果樣品是隨機(jī)生成的撬碟，在給定的比特位置處的值是同樣可能伴隨著一個或一個零在任何其它位的位置。在每個位置上莉撇，這個測試與計算在出現(xiàn)的其他位置位觀察呢蛤，如果tokens是隨機(jī)的關(guān)系的可能性。為了防止任意的結(jié)果棍郎，當(dāng)兩個比特之間觀察到一定程度的相關(guān)性其障，該測試調(diào)整，其顯著性水平下是基于所有其他位級測試的位的顯著性水平涂佃。

Compressoion test?- 其他各個位級測試工作在采樣tokens中的各個位的位置励翼，所以隨機(jī)性的每個位的位置量計算隔離。僅執(zhí)行這種類型的測試將防止隨機(jī)性的tokens作為一個整體金額的任何有意義的評估：包含在每個位置相同的位值標(biāo)記的樣本可能會出現(xiàn)含有比含有不同的值更短的標(biāo)記的樣品更多的熵在每個位置上辜荠。因此汽抚，有必要以測試在tokens內(nèi)的不同的位位置中的值之間的任何統(tǒng)計學(xué)顯著關(guān)系。如果樣品是隨機(jī)生成的伯病，在給定的比特位置處的值是同樣可能伴隨著一個或一個零在任何其它位的位置造烁。在每個位置上，這個測試與計算在出現(xiàn)的其他位置位觀察午笛，如果tokens是隨機(jī)的關(guān)系的可能性膨蛮。為了防止任意的結(jié)果，當(dāng)兩個比特之間觀察到一定程度的相關(guān)性季研，該測試調(diào)整敞葛，其顯著性水平下是基于所有其他位級測試的位的顯著性水平。

Samples

在一個應(yīng)用程序的令牌進(jìn)行隨機(jī)試驗中与涡，首先有必要獲得這些令牌的合適的樣品惹谐。這可以通過兩種方式來完成：通過直接從目標(biāo)進(jìn)行標(biāo)記的自動live capture(實時捕捉)持偏，或通過Manually loading(手動加載)令牌，你已經(jīng)取得的樣本氨肌。

Live Capture

要進(jìn)行l(wèi)ive capture(實時捕捉)鸿秆，你需要找到一個返回響應(yīng)的地方，你要分析的session token(會話令牌)或其他項目的目標(biāo)應(yīng)用程序中的請求怎囚。您可以選擇在任何地方Burp的請求卿叽，然后從上下文菜單中選擇“Send to sequencer(發(fā)送到音序器)”選項做到這一點。需要對這個請求來配置實況采集的步驟如下所述恳守。

i)Select Live Capture Request - 實時捕獲請求列表中顯示已發(fā)送到音序器從其他burp工具的要求考婴。選擇返回你想要分析的標(biāo)記或其他項目的要求。

ii)Token Location Within Response - 選擇令牌出現(xiàn)的應(yīng)用程序的響應(yīng)中的位置催烘。

下列選項可用：

cookie - 如果響應(yīng)設(shè)置的任何cookie沥阱，這個選項可以讓你選擇一個cookie來分析。這是通過會話令牌給客戶的最常用方法伊群。?

Form field - 如果響應(yīng)包含任何HTML表單字段考杉，這個選項可以讓你選擇一個表單字段的值來分析。這種方法通常用于發(fā)送反CSRF令牌和其它每頁令牌提供給客戶舰始。?

Custom location - 您可以使用此選項來包含要分析的數(shù)據(jù)的響應(yīng)中指定一個特定的自定義位置崇棠。這是通過使用響應(yīng)提取規(guī)則對話框。

iii)Live Capture Options

這些設(shè)置控制用于執(zhí)行實時捕捉時發(fā)出HTTP請求和收獲令牌發(fā)動機(jī)丸卷。下列選項可用：

number of threads(執(zhí)行緒數(shù)目) - 此選項控制并發(fā)請求數(shù)的實時捕捉枕稀，卻可以使。?

Throttle between requests(請求之間的節(jié)流)- 可選的及老，實時捕捉每一個可以請求之前等待一個指定的延遲（以毫秒為單位）。此選項很有用范抓，以避免超載應(yīng)用程序骄恶，或者是更隱蔽。?

Ignore token whose length deviates by x characters忽略令牌匕垫，其長度偏差的X字符- 您可以選擇配置的實時捕捉忽略的令牌僧鲁，其長度與平均長度令牌偏離給定的閾值。這可能是有用的象泵，如果應(yīng)用程序偶爾會返回一個包含在令牌通常出現(xiàn)的位置不同項目的異常反應(yīng)寞秃。

vi)Running the Live Capture

當(dāng)你已經(jīng)完全配置的live Capture(實時捕捉)，點擊“開始實時捕獲”按鈕開始實時捕捉偶惠。burp序會反復(fù)發(fā)出您的請求春寿，并從應(yīng)用程序的響應(yīng)提取相關(guān)的令牌。在實時捕捉忽孽，一個進(jìn)度條顯示绑改，有令牌谢床，請求和網(wǎng)絡(luò)錯誤次數(shù)的計數(shù)器。下列選項可用：

Pause/resume(暫停/恢復(fù)) - 這將暫時停頓厘线，然后繼續(xù)识腿，捕捉。?

Stop(停止) - 這會永久停止捕獲造壮。副本令牌 - 這會將當(dāng)前拍攝的令牌到剪貼板渡讼，以便在其他burp攻擊（如入侵者有效載荷）或工具的使用。?

Save tokens(保存tokens) - 這節(jié)省了當(dāng)前拍攝的令牌文件耳璧。?

Auto-analyze(自動分析) - 如果啟用此選項成箫，burp就會自動進(jìn)行標(biāo)記分析，并定期更新結(jié)果現(xiàn)場采集過程中楞抡。?

Analyze now(現(xiàn)在分析) - 這是時可用最少100令牌已被抓獲伟众，并導(dǎo)致burp，分析當(dāng)前采樣和更新的結(jié)果召廷。

Manual load

此功能允許你加載Sequencer與您已獲得令牌的樣本凳厢，然后進(jìn)行統(tǒng)計分析的樣本。

要執(zhí)行手動負(fù)載竞慢，您首先需要通過一些手段先紫，比如你自己的腳本或從較早的live captrue實時捕捉，輸出筹煮，或Intruder attack遮精，以獲得自己的目標(biāo)應(yīng)用程序令牌的樣本。令牌需要在一個簡單的換行符分隔的文本格式败潦。

使用粘貼按鈕本冲，從剪貼板粘貼，或Load按鈕的標(biāo)記劫扒，從文件中加載它們檬洞。加載令牌，再加上最短和最長長度的詳細(xì)情況沟饥，將顯示您感添怔，檢查樣品已正確裝入。

要執(zhí)行加載令牌的分析贤旷，請單擊“analyze now(立即分析）”按鈕广料。

Analysis Options

在“analysis options(分析選項)”選項卡允許您配置如何Token Handled，并在分析過程中都進(jìn)行哪些類型的測試幼驶。

Token handling

令牌過程中如何分析處理這些設(shè)置控制艾杏。下列選項可用：

Pad short tokens at start/end(墊短令牌在開始/結(jié)束) - 如果由應(yīng)用程序產(chǎn)生的標(biāo)記具有可變長度，這將需要被填充盅藻，以使將要進(jìn)行的統(tǒng)計檢驗糜颠。您可以選擇是否填充應(yīng)在開始或每個標(biāo)記的結(jié)尾被應(yīng)用汹族。在大多數(shù)情況下，填充令牌在開始是最合適的其兴。?

Pad with(墊) - 您可以指定將用于填充字符顶瞒。在大多數(shù)情況下，對于數(shù)字或ASCII十六進(jìn)制編碼的令牌元旬，填充與“0”字符是最合適的榴徐。?

Base64-decode before analyzing(base64解碼分析之前) - 如果令牌是Base64編碼，可以配置Burp分析匀归，這將普遍提高在編碼分析之前的準(zhǔn)確度坑资。

Token Analysis

這些選項控制所執(zhí)行分析的類型。您可以單獨(dú)啟用或禁用每種類型的字符級和位級測試穆端。有時候袱贮，啟用所有測試進(jìn)行了初步分析后，您可能需要禁用某些測試体啰，以反映您更好的了解所標(biāo)記的特點攒巍，或以隔離受您的樣品表現(xiàn)任何不尋常的特性的影響。

在結(jié)果窗口中荒勇，修改任何的分析選項后柒莉，您可以點擊“重做分析”按鈕，您的新設(shè)置重新進(jìn)行了分析沽翔，并更新結(jié)果兢孝。

Result

Summary

summary選項卡是看獲得有關(guān)隨機(jī)性樣品中的程度的總體結(jié)論首位。它包括一個圖表仅偎，顯示的有效熵以上各顯著性水平的位的數(shù)目跨蟹。這提供了一個直觀的判決用來傳遞隨機(jī)性測試不同的可能顯著性水平的位的數(shù)目。

該標(biāo)簽還報告了結(jié)果的可靠性的估計值橘沥，是根據(jù)樣本的數(shù)量窗轩。

Character-level analysis

人物層次的分析選項卡顯示所有字符級測試結(jié)果摘要，并讓您深入到每個字符級測試的細(xì)節(jié)威恼。它也包含圖表顯示的字符集在每個位置的大小品姓，并且熵的比特可以從每個字符位置來提供的最大數(shù)量寝并。

注意箫措，字符級測試是不可靠的，如果所采用的字符集的大小過大相對于樣本的數(shù)目衬潦。例如斤蔓，如果一個令牌采用了64個不同的字符在每個位置，你只捕獲100個樣品镀岛，還有隔靴搔癢的樣本數(shù)據(jù)得出關(guān)于角色分配的任何可靠的結(jié)論弦牡。出于這個原因友驮，當(dāng)存在的不可靠的結(jié)果的危險，burp序?qū)⒆詣咏棺址墱y試驾锰，以防止破壞整體合并結(jié)果從分析的字符級的結(jié)果卸留。

Bit-level analysis

該位層次的分析選項卡中顯示了所有位級的測試結(jié)果摘要，并讓您深入到每一個位級測試的細(xì)節(jié)椭豫。這可以讓你獲得樣品的性能有更深的了解耻瑟，找出任何異常的原因，并評估令牌預(yù)測的可能性赏酥。

還有一個圖表喳整，顯示位貢獻(xiàn)的令牌中的每一個字符的位置的數(shù)目。這將使你的令牌中交叉引用各個位回到原來的字符位置裸扶，如果你需要框都。

Analysisi options

分析選項卡顯示已配置的分析的選項。如果需要重新進(jìn)行分析,您可以修改這些呵晨。

Decoder

Burp Decoder是一種用于將編碼數(shù)據(jù)納入其規(guī)范形式魏保，或?qū)⒃紨?shù)據(jù)轉(zhuǎn)換成各種編碼和哈希表的簡單工具。它能夠智能地識別多種編碼格式采用啟發(fā)式技術(shù)何荚。

Loading Raw Data

您可以將數(shù)據(jù)加載到解碼器在兩個方面：

鍵入或直接粘貼到頂部編輯器面板囱淋。

選擇數(shù)據(jù)中burp的任何位置，然后從上下文菜單中選擇“發(fā)送到解碼器”餐塘。

您可以使用“文本”和“十六進(jìn)制”按鈕來切換編輯器的類型來對數(shù)據(jù)使用妥衣。

Transformations

轉(zhuǎn)換不同的變換可以應(yīng)用到的數(shù)據(jù)的不同部分梢薪。下面的解碼和編碼操作可用：

1)Url?

2)HTMLBase64?

3)十六進(jìn)制?

4)ASCII碼?

5)八進(jìn)制?

6）二進(jìn)制?

7)GZIP等

各種常用的散列函數(shù)是可用的辆沦，取決于你的Java平臺的功能。

Working manually

要進(jìn)行手動解碼和編碼条篷，使用下拉列表選擇所需的變革需纳。所選擇的轉(zhuǎn)型將被應(yīng)用到選定數(shù)據(jù)芦倒，或整個數(shù)據(jù)如果沒有被選中。

Smart decoding

在解碼器內(nèi)的任何面板不翩，您可以點擊“智能解碼”按鈕兵扬。然后Burp將試圖通過尋找出現(xiàn)在可識別的格式，例如URL編碼或HTML編碼要編碼的數(shù)據(jù)來智能地解碼該面板的內(nèi)容口蝠。遞歸執(zhí)行這個動作器钟，一直持續(xù)到?jīng)]有進(jìn)一步的識別的數(shù)據(jù)格式檢測。這個選項可以是一個有用的第一步妙蔗，當(dāng)你已經(jīng)確定了一些不透明的數(shù)據(jù)傲霸，并想快速瀏覽一下，看看是否可以很容易地解碼成更容易識別的形式。應(yīng)用到數(shù)據(jù)的每個部分的解碼是使用通常的著色表示昙啄。因為Burp解碼器穆役，使一個“最佳猜測”嘗試識別一些常見的編碼格式，它有時會犯錯誤梳凛。發(fā)生這種情況時耿币，你可以很容易地看到所有參與解碼的階段，及已被應(yīng)用在每個位置上的轉(zhuǎn)變韧拒。使用手動控制則可以手動修復(fù)任何不正確的轉(zhuǎn)換和手動或巧妙繼續(xù)解碼從這點掰读。

Comparer

Burp的Comparer是執(zhí)行任何兩項數(shù)據(jù)之間的比較（視覺“diff(差異)”）一個簡單的工具。對Burp的Comparer一些常見用途如下：

當(dāng)尋找的用戶名枚舉的條件下叭莫，您可以使用有效和無效的用戶名比較響應(yīng)登錄失敗蹈集，尋找在反應(yīng)細(xì)微的差別。

當(dāng)Intruder襲擊已導(dǎo)致不同長度的比基反應(yīng)一些非常大的反應(yīng)雇初，你可以比較這些很快看到那里的分歧所在拢肆。

當(dāng)comparing的site maps或通過不同類型的用戶生成的Proxy history條目，你可以比較對類似的要求靖诗，看看那里的不同之處在于郭怪，為不同的應(yīng)用程序行為引起的。

當(dāng)測試使用布爾條件注射和其他類似的測試盲目SQL注入漏洞刊橘，你可以比較兩個反應(yīng)鄙才，看是否注射不同的條件已導(dǎo)致響應(yīng)的相關(guān)差異。

Loading Raw Data

您可以將數(shù)據(jù)加載到comparer對以下方式：

它直接粘貼形成剪貼板促绵。?

從文件中加載它攒庵。?

選擇數(shù)據(jù)中burp的任何位置，然后從上下文菜單中選擇“發(fā)送到的Comparer”败晴。

Performing Comparisons

加載數(shù)據(jù)的每個項目顯示為兩個相同的列表浓冒。要進(jìn)行比較，從每個列表中選擇其他項目尖坤，并單擊其中的“comparsions”按鈕之一：

Word compare(字比較) - 這種比較tokenizes根據(jù)空格分隔每個數(shù)據(jù)項稳懒，并確定了改造的第一個項目進(jìn)入第二所需的標(biāo)記級別的編輯。當(dāng)在單詞層面存在被比較項之間的有趣的差異慢味，例如场梆，在含有不同含量的HTML文檔，是最有用的纯路。

Byte compare(字節(jié)比較) - 這種比較確定改造的第一個項目進(jìn)入第二所需的字節(jié)級的編輯或油。當(dāng)在字節(jié)水平存在比較項之間的有趣的差別，比如在包含在一個特定的參數(shù)或cookie值稍有不同值的HTTP請求感昼，這是最有用的装哆。注意：該字節(jié)級的比較是相當(dāng)多的計算密集的罐脊，并且當(dāng)一個字級別的比較失敗定嗓，以確定在一個信息道的相關(guān)的差異通常應(yīng)該只使用這個選項蜕琴。當(dāng)您啟動一個比較，會出現(xiàn)一個新窗口宵溅，顯示比較的結(jié)果凌简。該窗口的標(biāo)題欄顯示的差異（即編輯）這兩個項目之間的總數(shù)。在兩個主面板顯示項目相比彩色化來表示每個修改恃逻，刪除和改造的第一個項目進(jìn)入第二所需的加法雏搂。你可以在文本或十六進(jìn)制形式查看每個項目。選擇“sync views(同步視圖)”選項可以使您同時滾動兩個小組等快速找出在大多數(shù)情況下有趣的編輯寇损。

Extender

Using Burp extender

要使用Burp extender功能凸郑，需要一下幾個步驟：

1.首先必須要有java環(huán)境?

2.在Burp extensions 下單擊add添加

3.選擇查找.jar后綴插件，點擊確定之后下一步就是安裝了?

4.安裝好了會提示安裝成功矛市，并且在如下圖中顯示

5.如果是python擴(kuò)展的話需要先到options中配置好python環(huán)境并且安裝jython環(huán)境

Loading and managing extensions

下表顯示了所有已安裝的擴(kuò)展名列表芙沥。您可以添加，刪除和使用按鈕的擴(kuò)展表重新排序的擴(kuò)展浊吏。請注意：

該擴(kuò)展名的顯示順序是而昨，其中的任何注冊的偵聽器和其他推廣資源將被調(diào)用的順序。

擴(kuò)展可以卸載找田，但保留在表中歌憨，以便能夠方便重裝稍后time.To切換擴(kuò)展的負(fù)載狀態(tài)，而不從列表中刪除它墩衙，在“l(fā)oaded”欄或擴(kuò)展詳細(xì)信息面板中單擊該復(fù)選框务嫡。注意：您可以快速重新按Ctrl +單擊“l(fā)oaded”復(fù)選框的延伸。這將卸載并重新加載該擴(kuò)展名漆改，而不顯示確認(rèn)對話框植袍。

要運(yùn)行用Python編寫的擴(kuò)展，你首先需要配置Jython的獨(dú)立JAR的位置籽懦，在Python環(huán)境選項于个。

Extension details

選擇在擴(kuò)展表中的項目顯示在下部面板的擴(kuò)展信息。詳細(xì)信息選項卡顯示以下信息：無論是擴(kuò)展當(dāng)前加載的暮顺。您可以點擊復(fù)選框厅篓，加載或卸載選定的擴(kuò)展。擴(kuò)展名捶码。擴(kuò)展可以通過編程設(shè)置其顯示在用戶界面中自己喜歡的名字羽氮。您可以手動編輯，如果需要此名稱惫恼。擴(kuò)展（ Java或Python）的類型档押。從中加載該擴(kuò)展名的文件。的方法，聽眾令宿，并在由擴(kuò)展使用其他資源的詳細(xì)信息叼耙。輸出選項卡包含擴(kuò)展的標(biāo)準(zhǔn)輸出流的細(xì)節(jié)，以及錯誤選項卡包含有關(guān)標(biāo)準(zhǔn)錯誤流相同的信息粒没。為每個數(shù)據(jù)流筛婉，可以配置應(yīng)用程序的輸出是否應(yīng)該被定向到系統(tǒng)控制臺，或者保存到文件中癞松，或者在UI中顯示出來爽撒。請注意：寫法基于UI的輸出窗口有大小限制，不適合用于重型記錄响蓉。擴(kuò)展是負(fù)責(zé)指導(dǎo)他們的輸出和錯誤消息硕勿，其中burp已經(jīng)分配給他們正確的數(shù)據(jù)流，并通過擴(kuò)展API的編程可用枫甲。擴(kuò)展不遵守這個可以直接直接輸出到系統(tǒng)控制臺首尼，無論在這里具體確定的設(shè)置。

Burp extender apis

此選項卡包含可用于創(chuàng)建Burp extensions API的細(xì)節(jié)言秸。該列表顯示软能，可在Burpk運(yùn)行版本的API。從列表中選擇一個接口的名稱举畸，顯示界面代碼全部查排。

您還可以使用“save interface files(另存接口文件)”和“save javadoc(保存Javadoc文件)”按鈕來保存這些文件的本地副本，用于開發(fā)擴(kuò)展的時候抄沮。

Options

Settings

此設(shè)置控制啟動時Burp是如何處理擴(kuò)展跋核。當(dāng)Burp啟動時，它會自動恢復(fù)可擴(kuò)展的配置清單叛买。如果選擇此選項砂代，Burp也將自動嘗試重新加載列表中的該被裝在其發(fā)生時Burp是關(guān)閉任何擴(kuò)展。

Java Environment

設(shè)置允許您配置環(huán)境執(zhí)行的是用Java編寫的擴(kuò)展率挣。如果您的擴(kuò)展使用任何庫刻伊，你可以指定哪些庫將被加載的文件夾。burp會搜索這個文件夾中的任何JAR文件椒功，并且將在用于加載Java擴(kuò)展類加載器的類路徑中包括這些捶箱。

Python Environment

設(shè)置允許您配置環(huán)境執(zhí)行的是用Python編寫的擴(kuò)展。使用Python擴(kuò)展动漾，您將需要下載的Jython 丁屎，這是Java實現(xiàn)的Python解釋器。下列選項可用：在Jython的獨(dú)立JAR文件的位置 - 這是您已下載的Jython的位置旱眯。你必須下載的Jython的獨(dú)立版本晨川。文件夾中加載的模塊 - 此設(shè)置是可選的证九，可以用來指定從哪個Python解釋器應(yīng)該嘗試加載所需要的您的擴(kuò)展模塊的文件夾。如果配置共虑，此選項會導(dǎo)致Burp來更新指定的位置了Python的sys.path變量愧怜。如果您已經(jīng)創(chuàng)建了自己的一套Python庫在多個單獨(dú)的擴(kuò)展使用使用此選項很有用。

注意：由于在Jython中動態(tài)生成Java類的方式看蚜，您可能會遇到內(nèi)存問題，如果你加載多個不同的Python擴(kuò)展赔桌，或者如果你卸載并重裝一個Python擴(kuò)展多次供炎。如果發(fā)生這種情況，你會看到一個這樣的錯誤：java.lang.OutOfMemoryError: PermGen space

You can avoid this problem by configuring Java to allocate more PermGen storage, by adding a -XX:MaxPermSize option to the command line when starting Burp.

例如:java -XX:MaxPermSize=1G -jar burp.jar

Ruby Environment

設(shè)置允許您配置環(huán)境執(zhí)行的是用Ruby編寫的擴(kuò)展疾党。使用Ruby的擴(kuò)展音诫，你需要下載的JRuby，這是Java實現(xiàn)的Ruby解釋器雪位。請注意竭钝，您可以在這里配置JRuby的JAR文件的位置，或者您也可以通過Java類路徑在啟動時加載的JAR文件雹洗。

Suite Options

Burp含有大量的影響的所有工具的行為套房范圍的選項香罐。

有如下選項：

Connections

此選項卡包含設(shè)置來控制Burp platform authentication，upstream proxy servers时肿，SOCKS代理庇茫，timeouts，hostname resolution螃成，以及范圍外的要求旦签。

platform authentication

設(shè)置允許您配置Burp platform authentication(平臺自動)驗證到目標(biāo)Web服務(wù)器。不同的認(rèn)證方式和認(rèn)證可以配置為單個主機(jī)寸宏。

支持的認(rèn)證類型有：Basic(基本的)宁炫，NTLMv1，NTLMv2身份驗證和摘要驗證氮凝。域和主機(jī)名信息僅用于NTLM身份驗證羔巢。

在“Prompt for credentials on platform authentication failure(提示平臺上認(rèn)證失敗憑據(jù))”選項會導(dǎo)致Burp顯示交互式彈出每當(dāng)身份驗證失敗時遇到的問題。

Upstream Proxy Servers

設(shè)置控制Burp是否會向外發(fā)送請求到Upstream Proxy Servers罩阵，或者直接到目標(biāo)Web服務(wù)器朵纷。

您可以定義多個規(guī)則，指定不同的目標(biāo)主機(jī)或主機(jī)組不同的代理服務(wù)器設(shè)置永脓。規(guī)則的應(yīng)用順序袍辞，而目標(biāo)Web服務(wù)器相匹配的第一條規(guī)則將被使用。如果沒有規(guī)則匹配常摧，burp默認(rèn)為直接的搅吁，非代理連接威创。

您可以在目標(biāo)主機(jī)規(guī)范中使用通配符（*匹配零個或多個字符，而谎懦？除了點匹配任何字符）肚豺。將所有流量到一個單一的代理服務(wù)器，創(chuàng)建一個規(guī)則*為目的主機(jī)界拦。離開代理主機(jī)空白直接連接到指定的主機(jī)吸申。

對于您配置的每個上游代理服務(wù)器，如果需要享甸，可以指定認(rèn)證方式和認(rèn)證截碴。支持的認(rèn)證類型有：基本的，NTLMv1蛉威，NTLMv2身份驗證和摘要驗證日丹。域和主機(jī)名信息僅用于NTLM身份驗證。

Socks Proxy

設(shè)置允許您配置Burp使用SOCKS代理的所有傳出的通信蚯嫌。此設(shè)置是應(yīng)用在TCP層哲虾，所有出站請求都將通過這個代理發(fā)送。

如果您已經(jīng)為上游HTTP代理服務(wù)器配置的規(guī)則择示，然后請求到上游代理服務(wù)器將通過這里配置的SOCKS代理發(fā)送束凑。

如果“DNS查詢在SOCKS代理”啟用該選項，則所有的域名將由代理解決栅盲。沒有本地查詢將被執(zhí)行湘今。

Timeouts

設(shè)置指定要用于各種網(wǎng)絡(luò)任務(wù)的超時。您可以指定以下超時：

Normal(正常) - 此設(shè)置適用于大多數(shù)網(wǎng)絡(luò)通信剪菱，并確定長期burp怎么會放棄已經(jīng)發(fā)生了超時的請求摩瞎，并記錄之前等待。?

Open-ended responses(開放式的回應(yīng)) - 此設(shè)置僅用于需要響應(yīng)不包含內(nèi)容長度或傳輸編碼的HTTP標(biāo)頭被處理的孝常。在這種情況下旗们，burp確定該傳輸已經(jīng)完成之前，等待指定的時間間隔构灸。?

Domin name resoolution(域名解析) - 此設(shè)置確定如何經(jīng)常burp會重新執(zhí)行成功的域名查找窗口上渴。這應(yīng)該被設(shè)置為一個適當(dāng)?shù)牡偷闹担绻繕?biāo)主機(jī)地址被頻繁地改變喜颁。?

Failed domain name resolution(失敗的域名解析) - 此設(shè)置確定burp多久將重新嘗試不成功的域名查找窗口稠氮。?

值以秒為單位。如果選項是空白的半开，然后burp永遠(yuǎn)不會超時的功能隔披。?

Hostname Resolution

設(shè)置使您可以指定主機(jī)名映射到IP地址，來覆蓋你的電腦所提供的DNS解析寂拆。

每個主機(jī)名解析規(guī)則指定一個主機(jī)名奢米，并應(yīng)與該主機(jī)名關(guān)聯(lián)的IP地址抓韩。規(guī)則可以單獨(dú)啟用或禁用。

這個功能可能是有用的鬓长，以確保請求的正確前進(jìn)轉(zhuǎn)發(fā)時谒拴，hosts文件已被修改為從非代理感知厚客戶端組件進(jìn)行流量的不可見的代理。

Out-of-Scope Request

可用于防止Burp從發(fā)行任何超出范圍的要求涉波。當(dāng)你需要保證沒有請求做出不在范圍的為你目前的工作目標(biāo)英上，它可以是有用的。即使你的瀏覽器使得對于超出范圍的項目要求啤覆，即將卸任的請求將通過Burp被丟棄苍日。

您可以啟用此功能為當(dāng)前目標(biāo)范圍〕遣啵或者易遣，您可以使用URL匹配規(guī)則定義自定義范圍彼妻。

HTTP

Redirections

設(shè)置控制重定向的類型的Burp會在它被配置為跟隨重定向的情況下理解嫌佑。

可以選擇重定向的種類如下：

1)3xx status code with location header?

2)refresh header?

3)meta refresh tag?

4)JavaScript driven?

5)與Location標(biāo)頭的任何狀態(tài)碼

注意，Burp在以下重定向到特定的目標(biāo)行為是由每個單獨(dú)的Burp工具內(nèi)設(shè)置（例如侨歉，根據(jù)目標(biāo)范圍內(nèi)）來確定屋摇。

Streaming Responses

可以告知Burp哪些URL返回“流媒體”的反應(yīng)，這不終止幽邓。然后Burp會不同于正常的反應(yīng)處理這些反應(yīng)炮温。流式反應(yīng)通常用于像不斷更新，現(xiàn)申請價格數(shù)據(jù)的功能牵舵。

Status 100 Responses

控制Burp處理與狀態(tài)100的HTTP響應(yīng)的方式柒啤。當(dāng)一個POST請求發(fā)送到服務(wù)器，這些反應(yīng)常發(fā)生的畸颅，它使一個臨時的響應(yīng)請求體已被發(fā)送之前担巩。

下面的設(shè)置：

understand 100 continue response(了解100繼續(xù)響應(yīng)) - 如果選中此選項，Burp會跳過中期響應(yīng)和解析真正的響應(yīng)頭像狀態(tài)代碼和內(nèi)容類型的響應(yīng)信息没炒。

Remove 100 continue headers除去100繼續(xù)頭 - 如果選中此選項涛癌，Burp會在此之前被傳遞到單獨(dú)的工具從服務(wù)器的響應(yīng)中刪除任何中期頭部。

SSL Negotiation

有時候送火，你可能有困難的談判與某些Web服務(wù)器的SSL連接拳话。 Java的SSL協(xié)議棧包含了幾個小鬼，和失敗與某些不尋常的服務(wù)器配置工作种吸。為了幫助您解決這個問題弃衍，Burp，您可以指定哪些協(xié)議和密碼應(yīng)該在SSL協(xié)商提供給服務(wù)器坚俗。下面的其他選項可用：自動選擇對談判失敗兼容SSL參數(shù) - 如果啟用此選項笨鸡，那么當(dāng)Burp失敗時使用配置的協(xié)議和密碼進(jìn)行談判的SSL 姜钳，它會探測服務(wù)器，試圖建立是由雙方支持一組兼容的SSL參數(shù)服務(wù)器和Java 形耗。如果找到兼容的參數(shù)哥桥，Burp緩存此信息，并使用在第一個實例中的參數(shù)具有相同的服務(wù)器未來的談判激涤。這個選項通常是可取的拟糕，可避免需要解決SSL問題，并嘗試使用協(xié)議和密碼倦踢。啟用阻止Java安全策略的算法 - 從Java 7的送滞， Java安全策略可以被用來從SSL協(xié)商被用于阻止某些過時的算法，以及其中的一些默認(rèn)情況下（如MD2 ）受阻∪杌樱現(xiàn)場許多Web服務(wù)器都使用這些過時的算法犁嗅， SSL證書，它是不可能使用默認(rèn)的Java安全策略來連接到這些服務(wù)器晤碘。啟用此選項允許Burp在連接到受影響的服務(wù)器時使用過時的算法褂微。對此選項的更改才會生效當(dāng)您重新啟動Burp。允許不安全的SSL重新協(xié)商 - 此選項可能會使用一些客戶端的SSL證書時园爷，或試圖周圍其他的SSL問題的工作是必要的宠蚂。

SSL

Client SSL Certificates

允許您配置客戶端SSL證書，當(dāng)目標(biāo)主機(jī)申請一個Burp會使用童社。您可以配置多個證書求厕，并指定每個證書應(yīng)使用的主機(jī)。當(dāng)主機(jī)請求的客戶端SSL證書扰楼，Burp會在列表中的主機(jī)配置匹配被連接的主機(jī)的名稱中使用的第一個證書呀癣。您可以在目標(biāo)主機(jī)規(guī)范中使用通配符（?匹配零個或多個字符，而弦赖？除了點匹配任何字符） 项栏。要使用一個證書，每當(dāng)任何主機(jī)請求之一腾节，使用作為目標(biāo)主機(jī)忘嫉。客戶端證書支持以下類型：文件（ PKCS ＃ 12 ） - 你將需要配置的證書文件的位置和密碼的證書案腺。硬件令牌或智能卡（ PKCS ＃ 11 ） - 你將需要配置PKCS＃11庫文件的位置庆冕，為您的設(shè)備，您的PIN碼劈榨，然后選擇從那些可用的證書访递。該P(yáng)KCS＃11庫文件是用軟件為您的設(shè)備安裝的本機(jī)代碼文件。在Windows上同辣，Burp可以自動搜索常見位置找到您所安裝的庫文件拷姿。

Server SSL Certificates

此信息僅面板包含從Web服務(wù)器接收到的所有的X509證書的詳細(xì)信息惭载。雙擊表格中的項目，以顯示該證書的完整細(xì)節(jié)响巢。

Session

此選項卡包含的設(shè)置session handing rules,the cookie jar,and macros描滔。

Session Handling Challenges

當(dāng)執(zhí)行任何類型的Web應(yīng)用程序的測試，你可能會遇到與會話處理和地區(qū)的挑戰(zhàn)踪古。

例如：該應(yīng)用程序可終止被用于測試會話含长，無論是防守還是其他原因，使后續(xù)的請求是無效的伏穆，直到會話恢復(fù)拘泞。某些功能可能使用改變必須與每個請求（例如，妨礙請求偽造攻擊）提供的令牌枕扫。某些功能可能需要一系列的要求被測試前陪腌，作出其他的請求，獲取應(yīng)用程序到一個合適的狀態(tài)烟瞧，它正在接受測試的要求诗鸭。執(zhí)行自動化測試任務(wù)，如起毛或掃描時燕刻，可能會出現(xiàn)這些問題只泼，當(dāng)你手動測試也可能出現(xiàn)剖笙。Burp的會話處理功能包含一系列的功能卵洗，以幫助在所有這些情況下，讓你繼續(xù)你的手動和自動測試弥咪，同時Burp需要在后臺為你的問題的照顧过蹂。

Session Handling Rules

Burp讓你定義的會話處理的規(guī)則清單，讓您非常細(xì)粒度地控制Burp處理應(yīng)用程序的會話處理機(jī)制和相關(guān)的功能聚至。每個規(guī)則包含一個作用域（什么規(guī)則適用于）和行動（什么規(guī)則呢） 酷勺。對于每一個即將離任的要求，即Burp它決定了所定義的規(guī)則在范圍的請求扳躬，并執(zhí)行所有這些規(guī)則的行為的順序（除非條件檢查行動決定不采取進(jìn)一步行動脆诉，應(yīng)適用于要求提供） 。在范圍內(nèi)為每個規(guī)則可基于任何正在處理的請求的下列功能或全部來定義：

Burp工具發(fā)出的請求贷币。

請求的URL击胜。的請求中參數(shù)的名稱。每個規(guī)則可以執(zhí)行一個或多個動作役纹，例如：更新cookie從Burp的蜜罐偶摔。驗證當(dāng)前會話。運(yùn)行宏（請求的預(yù)定義的順序） 促脉。通過創(chuàng)建不同的范圍和行動多條規(guī)則辰斋，你可以定義行為的層次結(jié)構(gòu)Burp將適用于不同的應(yīng)用和功能策州。例如，在一個特定的測試可以定義如下的規(guī)則：對于所有的請求宫仗，從Burp的cookie jar添加cookie够挂。對于請求到特定的域，驗證當(dāng)前會話與該應(yīng)用程序仍處于活動狀態(tài)藕夫，如果沒有下硕，運(yùn)行宏在應(yīng)用程序重新登錄，并更新蜜罐用得到的會話令牌汁胆。對于請求到包含__ csrftoken參數(shù)特定的URL 梭姓，首先運(yùn)行一個宏來獲取有效__ csrftoken價值，并提出請求時使用此嫩码。

Session Handling Tracer

需要申請Burp的會話處理功能誉尖，以對現(xiàn)實世界的應(yīng)用程序的功能的配置往往是復(fù)雜的，并且就很容易犯錯铸题。您可以使用會話處理示蹤劑铡恕，以幫助您解決您的會話處理配置。

示蹤顯示丢间，已經(jīng)由會話處理功能的處理（即探熔，其中至少一個會話規(guī)則已經(jīng)應(yīng)用）每個請求的列表。對于每個處理請求烘挫，所述示蹤劑表示規(guī)則和進(jìn)行該操作序列诀艰，并且改變到在序列中的每個步驟中的電流要求而作出。

請注意饮六，會話處理示蹤規(guī)定了所有受影響的HTTP請求的處理和存儲開銷其垄。您應(yīng)該只與故障排除會話處理的規(guī)則問題，當(dāng)使用的示蹤劑卤橄，不應(yīng)該離開它通常運(yùn)行绿满。

Cookie Jar

Burp維護(hù)一個cpploe干罐，用于存儲所有你訪問的網(wǎng)站發(fā)出的cookies 窟扑。密罐是所有Burp的工具之間共享喇颁。您可以配置哪些工具Cookie罐應(yīng)監(jiān)測，以更新的cookies 嚎货。默認(rèn)情況下橘霎，蜜罐是基于代理和蜘蛛的工具流量更新。Burp監(jiān)視由配置工具接收到的響應(yīng)厂抖，并更新蜜罐與設(shè)置任何新的Cookie茎毁。在代理的情況下忆某，從瀏覽器傳入的請求也被檢查朱浴。凡申請在前面設(shè)置一個永久性的Cookie這是目前在您的瀏覽器榆芦，這是需要你的會話進(jìn)行適當(dāng)?shù)奶幚聿蹲校@是很有用的。有Burp更新基礎(chǔ)上橡卤，通過代理請求的蜜罐意味著所有必要的cookie將被添加到蜜罐扮念，即使你的應(yīng)用程序當(dāng)前訪問期間不更新該cookie的值。您還可以查看手工蜜罐和編輯的cookie的內(nèi)容碧库，使用“打開蜜罐”按鈕柜与。蜜罐可用于會話處理的規(guī)則和宏來自動更新從蜜罐曲奇?zhèn)鞒稣埱蟆Ｃ酃迾s譽(yù)Cookie的域范圍嵌灰，在模仿的cookie處理規(guī)格Internet Explorer的詮釋方式弄匕。路徑范圍不兌現(xiàn)。

Macros

macro是一個或多個請求一個預(yù)定義的順序沽瞭。您可以使用會話處理規(guī)則中的Macro來執(zhí)行各種任務(wù)迁匠。典型用例的宏包括：獲取該應(yīng)用程序（如用戶的主頁）的頁面來檢查當(dāng)前會話仍然有效。進(jìn)行登錄驹溃，以獲得新的有效的會話城丧。獲得令牌或隨機(jī)數(shù)作為另一個請求中的參數(shù)來使用。當(dāng)Scanner或fuzz(模糊測試)在一個多步驟的過程的請求時豌鹤，執(zhí)行必要的前述要求亡哄，以獲得應(yīng)用到其中的目標(biāo)請求將被接受的狀態(tài)。在一個多步驟的過程中布疙，“attack”的請求時蚊惯，在完成該過程的剩余步驟，以確定所執(zhí)行的動作拐辽，或者獲得的結(jié)果拣挪，或者從該過程結(jié)束時的錯誤消息后擦酌。以及請求的基本序列俱诸，每個宏包含一些關(guān)于如何餅干和參數(shù)的序列中應(yīng)處理的重要結(jié)構(gòu)和單件之間的任何相關(guān)性。

display

User interface

設(shè)置允許您控制Burp的用戶界面的外觀赊舶。您可以配置用于整個用戶界面（除了HTTP消息的顯示）的字體大小睁搭，也是Java的外觀和感覺。更改這些設(shè)置就會生效時Burp重新啟動笼平。

http message display

設(shè)置允許您控制HTTP消息會顯示在原始的HTTP消息編輯器中园骆。您可以設(shè)定字體和點大小和字體平滑是否被使用。您還可以配置為請求參數(shù)和響應(yīng)語法語法彩色化是否完成寓调。有很多小伙伴說亂碼锌唾，就在這里設(shè)置。

Character Sets

設(shè)置控制Burp顯示原始的HTTP消息時如何處理不同的字符集∩翁椋可用的選項有：

1)自動識別每個消息的字符集的基礎(chǔ)上滋捶，郵件標(biāo)題。這是默認(rèn)選項余黎，可讓您同時在使用不同字符集的郵件的工作重窟。?

2)對所有消息使用平臺默認(rèn)的字符集。?

3)顯示消息的原始字節(jié)（使用ASCII編碼）惧财，而不處理任何擴(kuò)展字符巡扇。?

4)對所有消息使用一個特定的字符集。

HTTP頭始終顯示在原料的形式 - 字符集編碼選項只適用于郵件正文中垮衷。

需要注意的是所需的一些字符集的字形不支持的所有字體厅翔。如果你需要使用一個擴(kuò)展的或不尋常的字符集，你應(yīng)該首先嘗試進(jìn)行系統(tǒng)的字體搀突，如宋體或Dialog知给。

HTML rendering

Html rendering是html轉(zhuǎn)義的意思，渲染HTTP消息編輯器顯示HTML內(nèi)容中標(biāo)簽約描姚，因為它會出現(xiàn)在你的瀏覽器涩赢。該選項控制Burp是否會作出所需要的完全呈現(xiàn)HTML內(nèi)容（例如，用于嵌入式圖像）的任何額外的HTTP請求轩勘。使用此選項涉及的速度和HTML渲染質(zhì)量之間的權(quán)衡筒扒，以及您是否希望避免作出任何進(jìn)一步的請求到目標(biāo)應(yīng)用程序。

Misc

此選項卡包含的設(shè)置hotkeys(熱鍵)绊寻，logging(記錄)花墩，temporary files(臨時文件)的位置，automatic backup(自動備份)和scheduled tasks(預(yù)定的任務(wù))澄步。

Hotkeys

設(shè)置允許您配置快捷鍵為常用操作冰蘑。許多類型的動作可以被分配一個快捷鍵，在以下類別：

1)特定于某個HTTP請求或響應(yīng)的動作村缸，例如“send to repeater(發(fā)送到轉(zhuǎn)發(fā)器)”祠肥。?

2)全球行動，如“Switch to proxy(切換到代理服務(wù)器)”梯皿。?

3)在編輯操作仇箱，如“剪切”和“撤消”。?

一些熱鍵的默認(rèn)配置东羹。需要注意的是如果你使用它們頻繁剂桥，可以給它們分配一個快捷鍵。

所有的快捷鍵必須使用控制鍵（或在OSX上的Command鍵）属提，也可以使用Shift和其他可用的修飾符权逗。請注意，在某些Windows安裝中的Ctrl + Alt組合是由Windows視為等同于鍵AltGr，并可能導(dǎo)致輸入的字符時斟薇，在文本字段中壓顯現(xiàn)出來火惊。

Logging

設(shè)置控制HTTP請求和響應(yīng)的記錄”伎眩可以記錄每個工具或所有Burp流量進(jìn)行配置屹耐。選擇你要記錄的，會彈出一個框讓你選擇保存的地方椿猎，可以在掃描的時候把掃描的一些掃描記錄下來惶岭，然后放到sqlmap里進(jìn)行跑，很淫蕩的想法犯眠。

Temporary Files Location

保存一些零時文件的地方按灶，可以設(shè)置系統(tǒng)默認(rèn)，也可以自定義路徑筐咧。

Automatic backup

自動備份功能鸯旁。設(shè)置允許您配置Burp保存的所有工具'的狀態(tài)和配置的備份每隔多少分鐘，并且還可以選擇退出量蕊。

使用這些選項意味著你一般都會有你的工作铺罢，最近的備份副本在Burp異常退出的事件。如果您已配置目標(biāo)范圍為你的工作残炮，你可以使用“include in-scope items only(僅僅包括在范圍內(nèi)的項目)”以減少數(shù)據(jù)必須保存量韭赘。

Scheduled Tasks

計劃任務(wù)。僅限專業(yè)版使用势就，您可以使用任務(wù)調(diào)度程序自動啟動和停止某些任務(wù)在規(guī)定的時間和間隔時間泉瞻。您可以使用任務(wù)計劃程序來啟動和停止某些自動化任務(wù)了幾個小時，而你沒有工作苞冯，并定期或在特定時間保存您的工作袖牙。要使用此功能，請選擇在Burp的任何地方一個HTTP請求舅锄，或任何部分目標(biāo)站點地圖鞭达，并在上下文菜單中的“Engagement(參與工具)”中選擇“Schedule task(計劃任務(wù))” ∏捎椋或者碉怔，您也可以通過在計劃任務(wù)面板中直接添加一個新的任務(wù)。創(chuàng)建一個新的任務(wù)將打開一個向?qū)Ы恚梢耘渲萌蝿?wù)的詳細(xì)信息。

任務(wù)計劃有以下類型：

1）從URL掃描?

2）暫停主動掃描?

3）繼續(xù)主動掃描?

4）從URL蜘蛛?

5）暫停蜘蛛?

6）保存狀態(tài)?

根據(jù)任務(wù)的類型桨踪，您還可以配置一個URL （如掃描）或文件（如保存狀態(tài)） 老翘。每一個任務(wù)需要有配置了啟動時間。或者铺峭，您可以配置任務(wù)重復(fù)在定義的時間間隔墓怀。

Suite functions

Generate CSRF POC

[專業(yè)版]此功能可用于生成一個證明了概念驗證（PoC ）跨站點請求偽造（CSRF ）攻擊對于一個給定的請求。要使用此功能卫键，請選擇在Burp的任何地方URL或HTTP請求傀履，并選擇上下文菜單中的“Engagement tools(參與工具)”中的“Generate CSRF Poc(生成CSRF的一鍵通)”。

Burp顯示了在頂部面板中選擇的完整的請求莉炉，并將生成的HTML CSRF在較低的面板钓账。在HTML使用的形式和/或JavaScript來生成在瀏覽器中所要求的請求。您可以手動編輯的要求絮宁，并單擊“regenerate(重新生成)”按鈕梆暮，根據(jù)更新的要求來重新生成CSRF的HTML 。你可以測試生成的PoC的效果在瀏覽器中绍昂，使用“測試中的瀏覽器”按鈕啦粹。當(dāng)您選擇此選項，可以粘貼到瀏覽器（配置為使用Burp的當(dāng)前實例作為其代理）一個唯一的URL 窘游。由此產(chǎn)生的瀏覽器請求由服務(wù)Burp與當(dāng)前顯示的HTML唠椭，然后你可以決定的PoC是否是通過監(jiān)測得到的請求（ s）表示，通過代理服務(wù)器進(jìn)行了卓有成效的忍饰。

Message Editor

HTTP消息編輯器是用于整個Burp查看和編輯的HTTP請求和響應(yīng)泪蔫。以及顯示原始消息本身，編輯器包括大量的功能喘批，幫助您快速進(jìn)一步分析這些消息撩荣，推動Burp的核心工作流程，以及進(jìn)行其他有用的任務(wù)饶深。

Content Discovery

此功能可用于發(fā)現(xiàn)內(nèi)容并不會從您可以瀏覽或蜘蛛可見內(nèi)容鏈接功能餐曹。

要使用此功能，請選擇在Burp的任何地方一個HTTP請求敌厘，或任何部分目標(biāo)站點地圖台猴，并在上下文菜單中的“參與工具”中選擇“查找內(nèi)容”。

Burp使用各種技術(shù)來發(fā)現(xiàn)內(nèi)容俱两，包括姓名猜測饱狂，網(wǎng)絡(luò)蜘蛛，并且從命名的應(yīng)用程序中使用的觀測約定外推宪彩。發(fā)現(xiàn)的內(nèi)容被顯示在一個特殊的網(wǎng)站地圖是特定的發(fā)現(xiàn)會話休讳，并且還可以任選地加入到suite site map。

Control

此選項卡顯示您發(fā)現(xiàn)會話的當(dāng)前狀態(tài)尿孔。切換按鈕指示是否會話正在運(yùn)行俊柔，并允許您暫停和重新啟動會話筹麸。

下面的信息則顯示該發(fā)現(xiàn)會話的進(jìn)展：提出的要求數(shù)在服務(wù)器響應(yīng)傳輸?shù)淖止?jié)數(shù)網(wǎng)絡(luò)錯誤數(shù)排隊的發(fā)現(xiàn)任務(wù)數(shù)蜘蛛排隊的請求數(shù)排隊分析響應(yīng)數(shù)排隊的個人發(fā)現(xiàn)任務(wù)都顯示在表格中。發(fā)現(xiàn)引擎的工作原理遞歸雏婶，當(dāng)一個新的目錄或文件被發(fā)現(xiàn)物赶，進(jìn)一步的任務(wù)是源于此，這取決于配置留晚。

Target

這些選項可讓您定義了內(nèi)容發(fā)現(xiàn)會話啟動目錄酵紫，以及是否文件或目錄要有針對性。下列選項可用：

Start directory(啟動目錄) - 這就是Burp就會開始尋找內(nèi)容的位置错维。這條道路及其子目錄內(nèi)只有項目將在會議期間提出要求奖地。

Discover(發(fā)現(xiàn)) - 此選項確定會話是否將尋找文件或目錄，或兩者兼而有之需五。如果你正在檢查的目錄鹉动，你可以選擇是否以及如何深遞歸到子目錄中發(fā)現(xiàn)的。

Filenames

這些選項可讓您配置Burp應(yīng)該使用生成的文件名來測試源宏邮。下列選項可用

內(nèi)置的短文件列表 泽示、內(nèi)置短路目錄列表 、內(nèi)置長文件列表 蜜氨、內(nèi)置長目錄列表

發(fā)現(xiàn)在目標(biāo)站點上使用的名稱械筛。如果選擇此選項，Burp會維護(hù)所有的目錄和文件名莖已發(fā)現(xiàn)的目標(biāo)網(wǎng)站上的名單飒炎，也將檢查這些在測試每一個新的目錄埋哟。

根據(jù)發(fā)現(xiàn)的物品推導(dǎo)。如果選擇此選項郎汪，Burp會嘗試猜測基于那些已經(jīng)被發(fā)現(xiàn)的項目名稱赤赊。例如，如果該目錄AnnualReport2011被發(fā)現(xiàn)煞赢，Burp也將檢查AnnualReport2012抛计，AnnualReport2013等。

File Extensions

控制如何發(fā)現(xiàn)會話添加文件擴(kuò)展名照筑，正在測試吹截。該文件的本身是根據(jù)文件名選擇導(dǎo)出。當(dāng)每個文件的在測試時凝危，Burp會檢查各種不同的擴(kuò)展名波俄，根據(jù)這些設(shè)置。下列選項可用：

1)Test these extensions(測試這些擴(kuò)展)- 此選項可讓您設(shè)定的擴(kuò)展蛾默，Burp會經(jīng)常檢查清單懦铺。你可以微調(diào)的基礎(chǔ)上已知在對目標(biāo)應(yīng)用程序中使用的技術(shù)，默認(rèn)列表趴生。?

2)Test all extensions observed on target site(測試目標(biāo)點觀測到的所有分機(jī)) - 如果選擇此選項阀趴，然后Burp會自動檢查是否存在已在使用中被觀察到目標(biāo)站點上的文件擴(kuò)展名昏翰。此選項很有用苍匆，當(dāng)你不知道到底是什么擴(kuò)展或技術(shù)都在使用刘急。您還可以配置你不想要檢查，即使發(fā)現(xiàn)是在使用中（如圖像文件）的擴(kuò)展名列表浸踩。?

3)Test these variant exxtensions on discovered files(在測試文件中發(fā)現(xiàn)這些變異擴(kuò)展) - 此選項可讓您設(shè)定的擴(kuò)展名列表的Burp會額外檢查以便發(fā)現(xiàn)文件名叔汁。這個選項是檢查現(xiàn)有的文件的備份副本很有用。?

4)Test filestemswith no extension(測試文件無擴(kuò)展名) - 如果選擇此選項检碗，Burp會為每個文件檢查不帶擴(kuò)展名添加据块。?

Discovery Engine

用于發(fā)現(xiàn)內(nèi)容時發(fā)出HTTP請求的引擎，并帶有套房站點地圖互動折剃。下列選項可用：

1)Case sensitivity(區(qū)分大小寫) - 這個設(shè)置控制Burp是否會處理文件名的情況下另假，敏感。如果選擇“自動檢測”被選中怕犁，然后Burp會通過處理文件名的情況下靈敏啟動边篮，并在發(fā)現(xiàn)的第一個新項目，將測試情況變化的服務(wù)器的處理奏甫。根據(jù)所治療戈轿，Burp可能恢復(fù)到處理文件名的情況下不區(qū)分大小寫。?

2)Add discovered content to suite site map(發(fā)現(xiàn)添加內(nèi)容到套房站點地圖) - 如果選擇此選項阵子，然后在當(dāng)前會話的發(fā)現(xiàn)確定了新的項目將被自動添加到主浴室的站點地圖思杯。?

3)Copy content from suite site map(復(fù)制主站點地圖的內(nèi)容) - 如果選擇此選項，則發(fā)現(xiàn)會話將復(fù)制任何現(xiàn)有的相關(guān)內(nèi)容從主套房站點地圖進(jìn)去發(fā)現(xiàn)網(wǎng)站地圖挠进，以提供發(fā)現(xiàn)新的內(nèi)容較強(qiáng)的出發(fā)基礎(chǔ)色乾。?

4)Number of discovery threads(蜘蛛從已發(fā)現(xiàn)的內(nèi)容) - 如果選擇此選項，則發(fā)現(xiàn)會話將執(zhí)行常規(guī)的網(wǎng)絡(luò)蜘蛛领突，并且將處理響應(yīng)發(fā)現(xiàn)請求尋找鏈接到其他新的內(nèi)容暖璧。發(fā)現(xiàn)執(zhí)行緒數(shù)目 - 此選項控制并發(fā)請求數(shù)的發(fā)現(xiàn)引擎能夠作出。蜘蛛線程數(shù) - 該選項控制并發(fā)請求數(shù)的蜘蛛功能是能夠使攘须，如果啟用漆撞。?

Site map

該發(fā)現(xiàn)會話使用自己的站點地圖，顯示所有已發(fā)現(xiàn)的定義范圍內(nèi)的所有內(nèi)容于宙。如果您已配置Burp的話浮驳，新發(fā)現(xiàn)的項目也將被添加到Burp的主要站點地圖。

Alert

用來顯示當(dāng)前Burp的掃描代理的一些狀態(tài)捞魁，這個沒什么介紹的至会。

Burp Sqlmap插件

SqlMap是一個開源滲透測試工具，它可以自動檢測和利用SQL注入漏洞和接管數(shù)據(jù)庫服務(wù)器的過程谱俭。它配備了一個功能強(qiáng)大的檢測引擎奉件，許多利基功能宵蛀，為最終的滲透測試和廣泛的交換機(jī)從數(shù)據(jù)庫中指紋持久的，在數(shù)據(jù)從數(shù)據(jù)庫中獲取县貌，通過訪問底層文件系統(tǒng)和操作系統(tǒng)上執(zhí)行命令的輸出帶外連接术陶。如圖效果圖

0x01 環(huán)境及工具

需要python、java環(huán)境煤痕，并且需要下載sqlmap.py梧宫、gason.jar插件。

下載地址：https://github.com/sqlmapproject/sqlmap

http://www.praetorian.com/tools/gason-0.9.6.jar

0x02 安裝

1）選擇Burp Extender擴(kuò)展添加

2）添加成功會提示加載成功摆碉，然后在任意的Burp請求地址的詳情里右擊

3）接下來會出現(xiàn)gui 界面塘匣，要是用還必須加載sqlmap.py的路徑

圖形界面挺不錯的，對于使用sqlmap新手挺好的巷帝，有時候使用命令界面的時候不知道命令了可以用這個圖形界面查看命令怎樣使用忌卤，比如：我不知道怎么在后面加數(shù)據(jù)庫參數(shù)，則可以如下圖所示

0x03 使用

如上有地址參數(shù)了在右下角點擊run即可楞泼，圖形界面就不做過多的介紹了驰徊，其使用方法和sqlmap命令界面是一樣的，主要是結(jié)合了burp唯一的好處就是用burp檢測到注入了然后可以直接發(fā)送到sqlmap進(jìn)行注入现拒。而且操作簡單辣垒。

Notes

0x01 介紹

在Notes選項卡中，您可以：

- 儲存注意事項：儲存任何目前開啟的文件到一個文件中印蔬。?

- 負(fù)載注：從文件加載以前保存的一套紙幣勋桶。?

- 新文本：添加一個標(biāo)簽一個新的文本文檔。?

- 導(dǎo)入文本：加載一個文本文件的內(nèi)容侥猬。?

- 新的電子表格：添加一個標(biāo)簽一個新的電子表格例驹。?

- 導(dǎo)入電子表格：加載一個CSV文件的內(nèi)容。?

- 您還可以導(dǎo)出單個音符的標(biāo)簽到外部文件退唠。

界面如下：

0x02 安裝

在Burp主界面Extender>>Extensions>>Burp Extensions下的add按鈕

0x03 使用

1)可以從Burp主界面的Proxy history里選擇發(fā)送到notes鹃锈。?

2)切換到notes標(biāo)簽選項卡即可。?

3)Save notes(保存文本)?

4)也可以導(dǎo)入文本和表格文件?

JSBeautifier

0x01 介紹

大多數(shù)的網(wǎng)站壓縮其資源瞧预，如JS文件屎债，以便增加裝載速度。然而垢油，安全性測試和調(diào)試一個壓縮的資源是不容易的事盆驹。這是一個Burp開源擴(kuò)展，這使得它可以美化大部分資源滩愁。因此躯喇，這將有助于Web應(yīng)用程序安全研究人員查看壓縮資源更容易。它還可以幫助他們有足夠的資源內(nèi)的瀏覽器解壓縮后的版本（如JS硝枉，CSS廉丽，HTML倦微，XML，等等）正压。

0x02安裝

1）下載jsbeautifier.jar 文件和libs目錄?

2）點擊Extender>>add選擇jsbeautifier.jar

0x03 使用

直接勾選或者在響應(yīng)請求選擇beautify this!即可