如何使用burpsuite实现rest apis？

Question

我想测试rest，用例是连接到服务器的客户端(带有用户名和密码的桌面应用程序)。所以我很困惑，从哪里开始，如何配置打嗝。通常我会用burp来测试网站，这很容易配置，您只在浏览器中设置代理和拦截，但是现在用例不同了。此外，我在google上做了一些搜索--我注意到邮递员被多次提到，我知道它是一个构建apis的工具，但是它是否也被用在了burp中？

Answer 1

首先确认应用程序正在通过HTTP/HTTPS进行通信，以确保Burp是正确使用的工具，这可能是有用的。

邮递员只适用于渗透测试，如果你已经有邮递员的文档。听起来不是这样的，所以我不担心。

假设桌面应用程序确实使用了HTTP，那么您需要做两件事：

将系统级代理设置更改为指向(127.0.0.1:8080)

• Install并信任 CA证书(可在本地从http://burp:8080).获得)。

在某些情况下，您可能需要启用Burp中的“不可见代理”。

根据客户端的类型，这在一开始可能并不总是有效的，但是如果客户端支持代理，您应该会看到Burp窗口中的流量。请注意您在Burp中的仪表板，如果您看到TLS警告，它可能是客户端使用证书钉扎的指示，并且可能需要对客户端进行一些反向工程。

Answer 2

如您所知，打嗝，拦截一个http/s协议网络，它不是拦截网络流量的工具。因此，为了实现您的目标，您可以使用wireshark或其他东西来查找软件rest端点。在那之后，你可以像以前一样使用打嗝开始你的渗透测试。

那么如何在wireshark中找到rest端点呢？您可以使用以下模式过滤网络结果：

tcp.port==443