首先时burpsuite的安装和代理设置，dvwa的平台搭建。（以下内容是本人学习的记录）
burpsuite 简介
Burp Suite 是用于攻击web 应用程序的集成平台，包含了许多工具。Burp Suite为这些工具设计了许多接口，以加快攻击应用程序的过程。所有工具都共享一个请求，并能处理对应的HTTP 消息、持久性、认证、代理、日志、警报。
安装配置
java环境
因为burpsuite是在JAVA环境下运行的，所以首先应该配置好JAVA环境；
- 安装jdk-8u201-windows-x64安装包；(https://www.7down.com/soft/334468.html)
- 下载后，傻瓜似安装，下一步即可
- 安装完JAVA软件包后，进行环境变量的配置：
右键“计算机”—“属性”—“高级系统配置”右键“计算机”—“属性”—“高级系统配置”
我们需要新建两个环境变量，修改一个环境变量
（1）JAVA_HOME
变量值填写JAVA安装的路径，我的是C:\Program Files\Java\jdk1.8.0_201
（2）CLASSPATH、
变量值填写 .;%JAVA_HOME%\lib\dt.jar;%JAVA_HOME%\lib\tools.jar
（3）修改Path变量，在其变量值的后面加上 ;%JAVA_HOME%\bin;%JAVA_HOME%\jre\bin
下载安装Burpsuite（windows）
官网下载地址：https://portswigger.net/burp/releases?initialTab=community （多种版本）
云盘下地址：链接：https://pan.baidu.com/s/1Qu2syEx9C0Cm3iSDyf9m4g 提取码：sx2
- 安装首先打开下载文件夹中的burp-loader-******-2.jar
出现下列弹窗：
2.复制上面图片标红的部分
3.打开下载文件夹中burpsuite_pro_v2.1.jar
4.将2中复制的内容copy到此弹窗中
5.弹窗点击next,进入下列弹窗，再次弹窗中点击【Manual activation】
6.出现下面弹窗，点击copy request按钮，将复制的内容，放入2中的activetion request
7.此时2中的弹窗 activation response会自动生成
8.复制activation response中的内容到 burpsuite professional 弹窗中第三个输入框
9.点击burpsuite professional 弹窗中next按钮，完成burpsuite的**安装
10.进入首页查看
Target(目标)——显示目标目录结构的的一个功能
Proxy(代理)——拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许你拦截，查看，修改在两个方向上的原始数据流。
Spider(蜘蛛)——应用智能感应的网络爬虫，它能完整的枚举应用程序的内容和功能。
Scanner(扫描器)——高级工具，执行后，它能自动地发现web 应用程序的安全漏洞。
Intruder(入侵)——一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing 技术探测常规漏洞。
Repeater(中继器)——一个靠手动操作来触发单独的HTTP 请求，并分析应用程序响应的工具。
Sequencer(会话)——用来分析那些不可预知的应用程序会话令牌和重要数据项的随机性的工具。
Decoder(解码器)——进行手动执行或对应用程序数据者智能解码编码的工具。
Comparer(对比)——通常是通过一些相关的请求和响应得到两项数据的一个可视化的“差异”。
Extender(扩展)——可以让你加载Burp Suite的扩展，使用你自己的或第三方代码来扩展Burp Suit的功能。
Options(设置)——对Burp Suite的一些设置
chrome安装插件Proxy SwitchyOmega
- 首先去下载Proxy SwitchyOmega：https://github.com/FelisCatus/SwitchyOmega/releases
- 修改解压文件
下载后为：SwitchyOmega_Chromium.crx
将SwitchyOmega_Chromium.crx 修改SwitchyOmega_Chromium.rar/ SwitchyOmega_Chromium.zip 然后解压即可
3. chrome添加扩展文件
4、查看SwitchyOmega
5、为方便使用SwitchyOmega，可以将其固定在右上角
6、burpsuite 导出证书，输入导出的名字XXX.cer
7、将证书添加到chrome，chrome设置——》管理证书——》
8、证书——》受信任的根证书——》导入——》选择XX.cer
dvwa下载安装
dvwa下载安装参考（搭建自己的dvwa平台）
dvwa配置，注册登陆操作
1、chrome/火狐浏览器打开搭建好的DVWA站点（http://ip/dvwa/login.php），点击DVWA Security，调保护措施级别
2、浏览器访问brute force模块输入用户名密码,同时burpsuite开始抓包。（若无法抓包参见另外一篇《burpsuite无法抓取127.0.0.1的包解决方法》）
3、选择burp suite 抓取的登陆接口，右键Send to Intruder，查看postions 点击【clear$】
4、选择password 点击【add$】，选择payload 上传若密码（可以自己编写脚本生成，也可网上下载很多弱口令可以下载）
5、点击【start attack】
6、执行结果：将结果按照length进行排序，就会成功可以发现这条数据的legnth不同，此时可查看是否正确的密码
