如何用Burpsuite抓取exe數(shù)據(jù)包？

0x00前言

前幾天在群里看到有師傅在問(wèn)如何用Burpsuite抓取exe數(shù)據(jù)包的問(wèn)題？所以想著寫(xiě)篇文章簡(jiǎn)單記錄一下Burpsuite+Proxifier抓取exe數(shù)據(jù)包的方法。

注：記得很早之前我們抓exe數(shù)據(jù)包用的是歲月聯(lián)盟的WSExplorer工具，但現(xiàn)在由于兼容性問(wèn)題這個(gè)工具已經(jīng)不太好使了，所以不得不換一種抓包方式。

0x01 Burpsuite設(shè)置

首先我們打開(kāi)Burpsuite，Proxy->Proxy Listeners->Options添加一個(gè)代理服務(wù)器和端口，但得注意下不要使用已被占用的端口，否則可能會(huì)監(jiān)聽(tīng)失敗。

為了能順利抓取HTTPS，我們還得先導(dǎo)入下證書(shū)，在右上角CA Certificate下載證書(shū)，在瀏覽器設(shè)置好代理才能訪問(wèn)。

Win+R運(yùn)行輸入certmgr.msc，找到“受信任的根證書(shū)頒發(fā)機(jī)構(gòu)”證書(shū)右鍵->所有任務(wù)->導(dǎo)入->把剛下載的cacert.der導(dǎo)入進(jìn)去，選擇“所有文件(*.*)”。

這時(shí)Burpsuite的設(shè)置基本上已經(jīng)完成了，可以看到成功的抓到了HTTPS數(shù)據(jù)包。

常見(jiàn)問(wèn)題：

沒(méi)有導(dǎo)入證書(shū)；或已導(dǎo)入證書(shū)，但在Burpsuite抓包訪問(wèn)HTTPS仍會(huì)提示：您的連接不是私密連接。

解決辦法：

URL輸入chrome://flags/，搜索：Allow invalid certificates for resources loaded from localhost.，設(shè)置為Enable，重啟瀏覽器后Burpsuite抓包正常。

0x02 Proxifier設(shè)置

我們繼續(xù)設(shè)置Proxifier，Profile->Proxy Servers...->Add添加一個(gè)HTTPS代理，填入Burpsuite監(jiān)聽(tīng)的IP地址和端口即可。

添加完HTTPS代理后可以先Check檢查下這個(gè)代理是否已連通？沒(méi)問(wèn)題后再繼續(xù)。

之后我們?cè)倥渲孟麓硪?guī)則，Profile->Proxification Rules...->Add添加一條規(guī)則。

Applications輸入要代理的進(jìn)程，如：java.exe，Action選擇剛添加的HTTPS代理。

這里以前段時(shí)間分享的Exp-Tools項(xiàng)目為例來(lái)演示，從下圖中可以看到已經(jīng)成功抓取到了該工具驗(yàn)證漏洞時(shí)提交的POC數(shù)據(jù)包，N！9個(gè)OA高危漏洞利用工具v1.1.6。

java -javaagent:Exp-Tools-1.1.6-encrypted.jar -jar Exp-Tools-1.1.6-encrypted.jar

0x03 文末小結(jié)

這種抓包方法不僅可以抓B/S、C/S架構(gòu)數(shù)據(jù)包，還可以抓常用的小程序、公眾號(hào)、Webshell管理工具及漏洞利用工具POC/EXP等，只需將發(fā)數(shù)據(jù)包的進(jìn)程添加進(jìn)Proxifier代理規(guī)則中即可，自己去測(cè)試體驗(yàn)下吧！

推薦閱讀

Proxifier逆向分析(Mac) Proxifier逆向分析(Windows/Mac) Proxifier+BurpSuite對(duì)C/S架構(gòu)客戶端的安全測(cè)試 Proxifier+BurpSuite+夜神模擬器(繞過(guò)代理檢測(cè)抓https)

審核編輯：劉清