入门 - 浏览器设置

优质

小牛编辑

140浏览

2023-12-01

Burp 需要与您的浏览器一起使用。 Burp 作为 HTTP 代理服务器，所有来自浏览器的 HTTP/HTTPS 流量都通过 Burp。要使用 Burp 进行任何类型的测试，您需要配置浏览器以使用它。

首先，您需要确认 Burp 的代理侦听器是正常工作的。转到代理(Proxy)选项卡，然后选项(Options)子选项卡，并查看代理侦听器(Proxy Listeners)部分。您应该在表中看到一个条目，其中在运行(Running)列中选中复选框，并在”接口(Interface)”列中显示”127.0.0.1:8080”。如果不是这样，请尝试按面板左侧的齿轮图标，选择”恢复默认值(Restore defaults)”按钮。如果侦听器仍然未运行，则 Burp 无法打开默认代理侦听器端口（8080）。您将需要选择表项，点击”编辑(Edit)”，然后将侦听器的端口号更改为其他数字。有关更多详细信息，请参阅代理侦听器章节获取更多帮助。

其次，您需要配置浏览器以使用 Burp 代理侦听器作为其 HTTP 代理服务器。为此，您需要更改浏览器的代理设置，来设置针对HTTP/HTTPS协议的代理，需要设置主机地址（默认为127.0.0.1）和端口（默认为8080）。具体操作方法因浏览器和版本而异，大致如下：

Internet Explorer - 转到工具菜单，选择Internet选项，转到连接选项卡，然后单击局域网设置按钮。将自动检测设置复选框设为未选中状态。将使用自动配置脚本复选框设为未选中状态。将为LAN使用代理服务器复选框设为选中状态。在地址字段中输入您的 Burp 代理侦听器地址（默认值为127.0.0.1）。在端口字段中输入您的 Burp 代理侦听器端口（默认值为8080）。将“对于本地地址不使用代理服务器”复选框设为未选中状态。然后点击高级按钮。将为所有协议使用相同的代理服务器复选框设为选中状态。删除出现在例外字段中的任何内容。然后单击确定关闭所有选项对话框。
Chrome - Chrome 浏览器默认会使用计算机内置浏览器上配置的HTTP代理设置。如果您使用的是 Chrome，则可以打开计算机的内置浏览器，并按照说明进行配置。如果您不确定内置代理设置的位置，请打开Chrome，转到自定义菜单，选择设置，点击显示高级设置，然后找到网络，点击“更改代理服务器设置…”按钮。然后打开您的主机的相关配置选项，进行配置。^①
Firefox - 注意：如果您使用 Firefox 并且在 Firefox 中安装了 Plug-n-hack 插件，则可以将浏览器配置为自动使用 Burp。使用浏览器，访问代理侦听器的URL（如上所述，例如：http://127.0.0.1:8080），然后点击“Plug-n-hack”链接。
如果您没有在 Firefox 中安装 Plug-n-hack 插件，请转到 Firefox 菜单，单击选项，单击高级，转到网络选项卡，然后找到连接部分中的设置按钮。选择手动代理配置。在HTTP代理字段中输入您的Burp 代理侦听器地址（默认值为127.0.0.1）。在端口字段中输入您的Burp 代理侦听器端口（默认值为8080）。将为所有协议使用相同代理复选框设为选中。删除不使用代理字段中显示的任何内容。然后单击确定关闭所有选项对话框。
Safari - 转到 Safari 菜单，单击偏好设置，单击高级，然后找到代理并单击更改设置按钮。然后会打开当前网络适配器的网络配置设置。在代理选项卡中，选中网页代理（HTTP）框，然后在网页代理服务器字段中输入您的Burp 代理侦听器地址（默认为127.0.0.1），和端口（默认为8080）。确保忽略这些主机与域的代理设置框为空。然后选中安全网页代理（HTTPS）复选框，重复这些步骤。单击确定和应用，然后关闭打开的对话框。

注①：对于Chrome浏览器，可以安装 switchysharp或是switchyomega 插件，然后按照插件说明配置代理，译者觉得这种方法比原文中提到的更为方便快捷

配置好浏览器之后，您需要测试它能否正常工作。首先启动 Burp，然后在浏览器中访问任何 HTTP URL（暂时不要访问 HTTPS 的站点）。然后您的浏览器应该在等待请求完成。转到 Burp 中，转到代理（Proxy）选项卡，然后转到截取（Intercept）子选项卡。这些选项卡会高亮显示，在主面板中会有一个HTTP 请求。点击Intercept is on按钮，使其显示Intercept is off。回到浏览器，您很快就会看到浏览器以正常方式加载的网址。如果操作不正常，请参阅故障排除帮助。

最后，您需要配置能够使 HTTPS 请求通过 Burp 代理侦听器。此步骤不是必须的的，您可以以基本方式使用 Burp 或仅用于非 HTTPS URL，但设置过程只需要设置一次，在测试使用 HTTPS 的应用程序时可以充分利用Burp。之所以要单独设置的原因是 Burp 破坏了浏览器和目标 Web 服务器之间的 SSL 连接的信任关系，这样做的原因是以便与 Burp 查看和修改 HTTPS 消息的明文内容。 SSL 旨在防止发生这种情况（中间人攻击），在默认情况下，当您使用 Burp 访问 HTTPS 网址时，浏览器将显示安全警告。要确保使用 HTTPS 的应用程序正常工作，您需要在浏览器信任库中安装 Burp 的证书颁发机构（CA）的 SSL 证书。有关执行此操作的详细帮助，请参阅有关安装 Burp 的 CA 证书的帮助。完成该操作后，您需要关闭浏览器的所有窗口，然后重新打开浏览器，访问任何一个 HTTPS 网址，查看Burp中是否能够收到消息明文。同时浏览器不在显示任何安全警告，页面会以正常方式加载（如果您已经打开 Intercept 开关，则需要在Intercept选项卡中再次点击 Intercept is on 来关闭拦截）。

本节英文原版地址：
https://portswigger.net/burp/help/suite_gettingstarted.html