burp 全称 Burp Suite， 是用于攻击web 应用程序的集成平台。它包含了许多工具，可以抓包可以爆破也可以扫描漏洞。

主要组件如下：
Proxy——是一个拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许你拦截，查看，修改在两个方向上的原始数据流。
Spider——是一个应用智能感应的网络爬虫，它能完整的枚举应用程序的内容和功能。
Scanner[仅限专业版]——是一个高级的工具，执行后，它能自动地发现web 应用程序的安全漏洞。
Intruder——是一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing 技术探测常规漏洞。
Repeater——是一个靠手动操作来补发单独的HTTP 请求，并分析应用程序响应的工具。
Sequencer——是一个用来分析那些不可预知的应用程序会话令牌和重要数据项的随机性的工具。
Decoder——是一个进行手动执行或对应用程序数据者智能解码编码的工具。
Comparer——是一个实用的工具，通常是通过一些相关的请求和响应得到两项数据的一个可视化的“差异”。

-------------------------------以下重点讲解BurpSuite爆破--------------------------------------------------
一、前期准备工作：
1、开启浏览器代理、配置burp代理ip，注意要与浏览器代理ip一致（建议使用8080端口，下载证书的时候避免不必要的麻烦）；
2、代理全部开启了，现在我们对登录口进行抓包。
启动BurpSuite后，切换到Proxy菜单，拦截开关开启（intercept is on），点击open browser打开浏览器；

访问需要爆破的网站后，登录名和密码随便填，点击登录，观察burp拦截的http请求；

二、用户名、密码爆破详解
1、浏览器端操作输入账号、密码访问后，观察burp拦截的http请求

2、在拦截的请求页面，右键点击 send to intruder（把请求包数据转发过来intruder模块）

3、点击 intruder按钮，然后点击positions，对需要处理的参数（账号，密码）做变量处理；

爆破的4种类型（Cluster bomb为最常用）：
1、Sniper:对变量进行依次破解，只有一个字典
2、Battering ran:对变量进行同时破解，用户名和密码相同，只有一个字典
3、pitch fork:每个变量将会对应一个字典，用户名和密码一一对应，两个字典
4、Cluster bomb:每个变量将会对应一个字典,并且交集破解尝试每一个组合，每个用户和每个密码进行匹配，两个字典

4、参数做变量之后，页面点击payloads，针对第1、2个变量设置
各个payload类型如下：

4.1、设置第1个变量
选择Simple list(简单列表)：
这里面的payload集合可以自己输入，也可以从文件中读取，或者载入它预先准备好的一些payload集合，这个类型下对payload的组合比较自由

4.2、设置第2个变量
选择Runtime file(运行时加载文件)
先不加载文件，等开始攻击时，在读取文件内容，一行就是一个payload，记住路径中不能有中文，否则会报错

待破解的密码文件（密码已经是加密为MD5）：

4.3、选择MD5方式破解：进入到第二处payload选择时，因为密码对password进行了md5的hash处理，因此我们也要对payload进行hash处理。在Payload Processing模块，点击“Add”，然后在弹出的处理规则模块，先后选择处理模式为Hash，算法为md5

备注：待破解的密码文件（密码还未加密为MD5），例如：密码为123456
如果待破解的文件已经是MD5，该处无需设置

5、最后一步，我们就可以点击右上角的“Start attack”了，这样Burpsuite就会自动发送payload构成的多个数据包

一般而言，如果我们能够爆破成功，那么成功后反馈的页面和失败后反馈的页面一定是不同的。在结果页面中点击response切换查看返回的结果（匹配成功与匹配失败的结果显示是不同的）
1、匹配到正确的密码

2、匹配到错误的密码

3、上面4.3、选择MD5方式破解的结果（例如破解文件中的密码为数字123456是正确的密码）