php抓包 php抓包教程

bp软件流程

BP基本操作：

一、常用模块

1、proxy：代理、抓包、改包、默认监听地址是127.0.0.1：8080

2、repeat：HTTP请求消息和响应消息的修改与重复

3、intruder：暴力破解（狙击手、攻城锤、草叉、集束炸弹）

4、decoder：各种编码格式转换

5、scanner：漏洞扫描

6、splider：爬虫

二、常用的快捷键

1、Ctrl+R：将当前请求发送到Repeater

2、Ctrl+I：将当前请求发送到Intruder

3、Ctrl+shift+H：HTMLdecode

4、Ctrl+H：队选中部分中HTML关键字进行HTML encode

5、Ctrl+shift+U：URL decode

6、Ctrl+U：对选中部分中默认需要进行url encode的关键字符进行url encode

三、利用proxy和火狐浏览器的代理对php登录页面进行抓包

对抓取套包利用Do intercep模块进行修改，让页面显示为hello

四、利用repeater模块修改请求消息，并且查看响应的请求消息

五、利用intruder模块对登录密码进行暴力破解

选择clear先清除默认选项

选择密码部分选择add进行添加

在Payloads想设置导入密码字典或者手动添加，你认为可能正确的密码

在Options模块下Grep-Extract添加响应消息的尾部用来判断是否密码正确

在Options模块下Grep-Extract天桥响应消息的尾部用过滤的方式来判断是否密码正确

回到Postions模块下开始攻击，通过回显消息就可以成功查看到正确密码或者查看状态码以及回显字符长度也可以判断出正确的密码

Get请求和Post请求区别是什么

它们有以下区别：

1.参数传递方式不同

get请求：将请求参数放在url后面，形如“http://www.example.com/index.php?param1=value1&param2=value2”，多个参数之间用“&”连接。

post请求：将请求参数放在请求体中，请求头中需要设置content-type为application/x-www-form-urlencoded或multipart/form-data。

2.请求数据大小限制不同

get请求：由于参数是直接拼接在url中，所以url长度是受限制的，浏览器和服务器都会限制url长度，一般为2048字节。

post请求：没有长度限制，但是服务器端和客户端都可以设置最大请求体大小，超过限制可能会被拒绝或截断。

3.安全性不同

get请求：请求参数直接暴露在url中，不安全，容易被第三方截取和篡改。

post请求：请求参数放在请求体中，相对安全，但也可以通过抓包等手段获取参数值。

4.缓存策略不同

get请求：可以被浏览器缓存下来，下次请求时如果缓存未失效，直接从缓存中读取数据，减少网络流量和服务器压力。

post请求：不能被浏览器缓存。

5.使用场景不同

get请求：一般用于获取数据，比如查询、搜索等操作。

post请求：一般用于提交数据，比如表单提交、文件上传等操作。