burpsuit抓取https包（pc端+安卓端）

標籤：瀏覽器設定   細節   主題   4.4   聯絡   ipc   部分   方式   table   

該文轉自ichunqiu論壇。 0x00 起因 前言：burpsuit是一個滲透利器，相信各位大表哥們或多或少使用過它來抓包。http抓包是很簡單的，https抓包的話，就多了認證信任的問題。 因為在劫持https通訊的時候，認證會變成burp的認證，原網站的認證出現問題，我們又不信任burp的認證的時候，瀏覽器就不能進行下一步的訪問了，抓包就沒辦法繼續進行。 所以要抓https的資料包的時候，就是得把認證匯入到瀏覽器的“信任目錄”，注意是”信任目錄“，而不是單純的匯入到瀏覽器。 https&&ssl 為了提高網站的安全性，一般會在比較敏感的部分頁面採用https傳輸，比如註冊、登入、控制台等。像Gmail、網銀、icloud等則全部採用https傳輸。https/ssl主要起到兩個作用：網站認證、內容加密傳輸和資料一致性。經CA簽發的認證才起到認證可信的作用，所有有效認證均可以起到加密傳輸的作用。 數位憑證 主要在互連網上的用於身分識別驗證的用途。 安全網站在獲得CA（Certificate Authority數位憑證認證機構）認證後，獲得一個數位憑證，以此來標識其合法身份的真實性。數位憑證主要分為伺服器憑證和用戶端認證。伺服器憑證（SSL認證）用來進行身分識別驗證和通訊的加密，用戶端認證主要用於身分識別驗證和電子簽名。找CA申請認證是要收費的。 自我簽署憑證 非CA頒發的認證，通過自簽名的方式得到的認證。通常Web瀏覽器會顯示一個對話方塊，詢問您是否希望信任一個自我簽署憑證。這個是不用花錢的。 中間人攻擊 是指攻擊者與通訊的兩端分別建立獨立的聯絡，並交換其所收到的資料，使通訊的兩端認為他們正在通過一個私密的串連與對方直接對話，但事實上整個會話都被攻擊者完全控制。在中間人攻擊中，攻擊者可以攔截通訊雙方的通話並插入新的內容。在許多情況下這是很簡單的。 0x01 環境java 1.7      //注意java的版本不能過高，也就是不能是1.8，具體原因不太清楚，如果是1.8的話，匯出的認證會是0位元組 burp1.6 pro破解版 firefox 瀏覽器 autoproxy //Firefox外掛程式 安卓抓包：夜神模擬器 0x02 設定     開啟burp設定代理 <ignore_js_op>  <ignore_js_op>      將本機ip的8080連接埠設定為代理，因為待會要在安卓模擬器上抓包，所以不能是127.0.0.1這種迴路位址。3處的ip必須和cmd下的ipconfig的地址一樣。     瀏覽器設定 //在電腦本地抓https     安裝完autoproxy後編輯Proxy 伺服器，添加一個8080的代理。     喜好設定-->Proxy 伺服器-->編輯Proxy 伺服器 <ignore_js_op>      設定完後將瀏覽器，全域代理。將預設代理選為剛剛設定的代理，點擊兩下讓福字變綠。     訪問http://burp/  下載認證，此處的認證是der的格式，安卓不識別，在瀏覽器匯入認證然後再匯出為cer格式的認證。 <ignore_js_op>      以Firefox為例，開啟選項-->進階-->認證-->查看認證-->伺服器-->匯入 選擇剛剛的caret.der     記得把紅框勾掉，本人因為沒有勾掉，認證一直不被信任，這是一個細節坑。//到了此步，如果認證信任的話，電腦已經可以抓https了     匯出認證：選項-->進階-->查看認證-->伺服器-->選擇剛剛匯入的認證 -->匯出 <ignore_js_op>      會得到一個PortSwigger.cer.將他拖到我們的安卓模擬器之中。直接拖著檔案到夜神模擬器視窗就行了。它會自動上傳到模擬器的 <ignore_js_op>      這是認證位置，接下來設定安卓信任burp認證，設定-->安全-->從sd卡安裝 找到上面的認證選擇安裝就行了。 <ignore_js_op>      設定-->安全-->受信任的憑據-->使用者 看到PortSwigger就代表匯入並信任成功。     設定安卓wifi代理，設定-->WLAN-->左鍵長按連結到的wifi-->修改網路-->進階-->代理-->手動-->把剛剛設定burp代理設定上     例如我就是上面的127.25.28.240 連接埠8080     設定成功後試一下抓包看看。 <ignore_js_op>  成功！ //這裡因為我之前嘗試過了，在第一次抓包的時候會提示認證有問題，選擇添加例外就行了

本主題由 七百斤的猴子 於 2016-5-27 13:29 移動<ignore_js_op>

5.png (24.42 KB, 下載次數: 4)

 

burpsuit抓取https包（pc端+安卓端）