软件介绍

Burp Suite 是用于攻击web 应用程序的集成平台，包含了许多工具。Burp Suite为这些工具设计了许多接口，以加快攻击应用程序的过程。所有工具都共享一个请求，并能处理对应的HTTP 消息、持久性、认证、代理、日志、警报。

基本信息

Burp Suite 能高效率地与多个工具一起工作，例如：

一个中心站点地图是用于汇总收集到的目标应用程序信息，并通过确定的范围来指导单个程序工作。

在一个工具处理HTTP 请求和响应时，它可以选择调用其他任意的Burp工具。例如：

代理记录的请求可被Intruder 用来构造一个自定义的自动攻击的准则，也可被Repeater 用来手动攻击，也可被Scanner 用来分析漏洞，或者被Spider(网络爬虫)用来自动搜索内容。应用程序可以是“被动地”运行，而不是产生大量的自动请求。Burp Proxy 把所有通过的请求和响应解析为连接和形式，同时站点地图也相应地更新。由于完全的控制了每一个请求，你就可以以一种非入侵的方式来探测敏感的应用程序。

当你浏览网页(这取决于定义的目标范围)时，通过自动扫描经过代理的请求就能发现安全漏洞。

IburpExtender 是用来扩展Burp Suite 和单个工具的功能。一个工具处理的数据结果，可以被其他工具随意的使用，并产生相应的结果。

安装步骤

1.单击下方网站，下载软件。
burpsuite下载官方网站：https://portswigger.net/burp/releases

2.双击下载好的程序，安装软件。

3.选择next。

4.设置安装路径，单击next。

5.单击next。

6.等待安装。

7.安装成功。

pikachu测试暴力破解

1.启动程序，单击next。

2.单击start burp。

3.稍等。
4.使用火狐浏览器，设置代理。

5.随意输入账户和密码，然后login。
6.在burpsuite工具中找到端口请求。

7.将端口请求发送到intruder。

8.打开intruder菜单，清理标记符。

9.将账号和密码部分设置攻击标记符。

10.设置攻击类型，设置为cluster bomb。

11.输入攻击账号字典。

12.输入攻击密码字典。

13.复制登录失败的提示信息。

14.键入刚才那句错误提示信息，不包括最后那个符号：~。

15.将滚动条滑到顶部，单击start attack，开始攻击。

16.出现下图点击ok即可（这里是提示版本不支持的功能），看最后那个1，没有的就可能是正确的账号和密码，有1的代表是出现了错误信息提示的；再看length的长度，与其他均不同的就可能是正确的账号密码。


17.找出可能的账号，密码输入网页测试，出现login success即是登录成功。