Burp Suite 和 OWASP ZAP 類似，不僅僅是一個Web代理器，還包含很多其它的測試工具（代理、請求重發(fā)器、請求自動化工具、字符串加解密、漏洞掃描<專業(yè)版提供>等），這篇文章，我們使用這個工具完成和上一篇文章一樣的操作：攔截并修改請求。
啟動Burp Suite并配置瀏覽器走Burp的代理。
實施步驟
瀏覽器訪問http://192.168.56.102/mutillidae/
Burp的代理配置默認開啟了請求攔截，因此它能夠抓取第一個請求。我們需要到Burp的Proxy標簽頁，點擊** Intercept is on **按鈕，暫時先關閉攔截功能，關閉后如下圖所示：
跟上一篇文章一樣，把應用的安全級別調整為：<Security Level: 1 (Client-side Security)>
從左側導航欄，進入頁面：OWASP Top 10 | A1 – SQL Injection | SQLi – Extract Data | User Info
然后再Name輸入框，輸入雙引號中的字符串 “user<>”，在Passwork錄入框，輸入雙引號中的字符串“secret<>”，然后點擊** Login **。然后我們會得到應用給出的告警信息，告知我們使用了可能會危害應用的非法字符。
如此我們驗證了，這些字符是表單不允許的，同時由于在代理的HTTP history標簽頁沒有看到應用向后臺發(fā)請求的記錄，我們推斷該校驗為前端客戶端校驗。下面我們來繞過該校驗吧。再次點擊**Intercept is off **按鈕，開啟請求攔截功能。按下按鈕后，如下圖：
下一步是，用合法有效的用戶名和密碼（user/secret）登陸，此時代理會攔截請求，如下圖，然后我們修改 username 和 password 參數(shù)的值，添加非法字符 <> 。
如果要發(fā)送修改后的請求并停止攔截請求，點擊** Intercept is on ，如果要發(fā)送修改后的請求并保持攔截請求狀態(tài)，點擊 Forward **。這里我們關閉后續(xù)攔截操作，并查看結果：
總結
跟上一篇文章中提到的一樣，我們先發(fā)起一個有效的通過客戶端校驗的請求，在代理處攔截，修改請求內(nèi)容再發(fā)給服務器，從而繞過前端校驗，這一過程在滲透測試中是非常有用和重要的。但是，如果要更加深入的了解被測應用的安全機制和漏洞，我們需要根據(jù)對系統(tǒng)的理解，添加、刪除或替換更多的參數(shù)，觀察不同的響應，來做進一步分析和判斷。
