目标
让 Burp Suite 作为 HTTPS 代理服务器，拦截并解密 HTTPS 流量（即“中间人代理”），以便进行安全测试。
配置步骤
第一步：启动 Burp Suite（使用 runburpsuite）
批处理文件内容：
java -noverify -jar burpsuite_community_v1.7.36.jar✅ 确保你已经下载并正确安装了 Burp Suite（Pro 或 Community），且 runburpsuite 脚本在路径中。
第二步：配置 Burp Suite 的代理监听（关键步骤）
- 打开 Burp Suite 后，进入：
Proxy → Options（选项卡）
- 在 Proxy Listeners（代理监听器）区域：
- 默认有一个监听器：127.0.0.1:8080（或 localhost:8080）
- 这个监听器默认只处理 HTTP，要拦截 HTTPS，必须配置证书
- 编辑监听器：
- 点击 127.0.0.1:8080 → 点击 Edit
- 在弹出窗口中：
- Binding:
- Bind to port: 8080（可自定义，如 8888）
- Bind to address: 一般保持 127.0.0.1（仅本机访问），如需让其他设备使用（如手机），改为 0.0.0.0
- Request handling:
- 勾选 Support invisible proxying (enable only if needed)（可选）
- Certificate:
- 点击 Regenerate 按钮，生成一个新的 Burp CA Certificate（CA 证书）
- 这是解密 HTTPS 的关键！
- 点击 OK 保存。
第三步：导出并安装 Burp CA 证书（必须！）
Burp 使用自己的 CA 证书来动态生成目标网站的 HTTPS 证书。要让浏览器/设备信任这些证书，必须手动安装 Burp 的 CA 证书。
1. 导出证书：
- 进入：Proxy → Options → Import / export CA certificate
- 选择：
- Certificate in DER format（推荐）或 PEM
- 保存到本地，如 burp-ca.der
2. 安装证书到浏览器或系统：
|
环境 |
安装方法 |
|
Chrome / Edge |
设置 → 隐私和安全 → 安全 → 管理设备证书 → 受信任的根证书颁发机构 → 导入 .der 文件 |
|
Firefox |
设置 → 隐私与安全 → 证书 → 查看证书 → 导入（注意：Firefox 使用独立证书库） |
|
Android 手机 |
将 .der 或 .crt 文件传到手机 → 设置 → 安全 → 加密与凭据 → 安装证书 → CA 证书 |
|
iOS |
通过邮件或网站下载 .der 文件 → 安装描述文件 → 设置 → 通用 → 关于 → 证书信任设置 → 启用完全信任 |
⚠️ 注意：iOS 13+ 和 Android 7+ 默认不信任用户安装的 CA 证书用于系统应用，可能需要额外配置。
第四步：配置浏览器或设备使用 Burp 代理
将你要测试的设备（如浏览器、手机）的代理设置为：
- 代理地址（Proxy Host）: 你的电脑IP（如 192.168.1.100）或 127.0.0.1（仅本机）
- 代理端口（Port）: 8080（或你设置的端口）
例如：
- 浏览器插件（如 FoxyProxy）设置：HTTP Proxy: 192.168.1.100:8080
- 手机 Wi-Fi 代理：手动 → 服务器: 192.168.1.100，端口: 8080
第五步：测试 HTTPS 拦截
- 在浏览器中访问一个 HTTPS 网站（如 https://example.com）
- 查看 Burp Suite 的 Proxy → HTTP history，你应该能看到：
- CONNECT 请求（建立隧道）
- 随后的 GET/POST 请求（已解密）
- 如果看到证书警告，说明 CA 证书未正确安装。
️高级配置（可选）
1. 监听所有 IP（让手机等设备使用）
- 在 Proxy Listener 的 Binding 中：
- Bind to address: 0.0.0.0
- 确保防火墙允许 8080 端口入站
- 手机连接同一局域网
2. 使用不同端口
- 可将监听端口改为 8888，避免与本地其他服务冲突
3. 仅监听特定域名（Scope）
- 在 Target → Scope 中添加目标域名，可过滤无关流量
❌常见问题排查
|
问题 |
解决方案 |
|
HTTPS 流量显示为 CONNECT，无法解密 |
❌ 未安装 Burp CA 证书，或证书未信任 |
|
无法连接代理 |
❌ 防火墙阻止、IP 地址错误、Burp 未监听 0.0.0.0 |
|
证书警告（Not Secure） |
❌ 浏览器未信任 Burp CA 证书 |
|
手机无法加载网页 |
❌ 手机未安装证书，或代理设置错误 |
|
runburpsuite 启动失败 |
❌ 检查 Java 是否安装（需 Java 11+），或尝试直接运行 java -jar burpsuite_pro.jar |
✅总结
使用 runburpsuite 配置 HTTPS 代理的核心流程：
- 启动 Burp：./runburpsuite
- 配置监听器：Proxy → Options → 编辑监听端口（如 8080）
- 生成 CA 证书：Regenerate CA Certificate
- 导出并安装证书：到浏览器或设备
- 设置代理：浏览器/手机代理指向 电脑IP:8080
- 开始拦截 HTTPS 流量
安全提示：使用完毕后，提议关闭代理或移除 CA 证书，避免长期暴露中间人风险。
配置成功后，你就可以在 Proxy → HTTP history 中看到所有明文的 HTTP/HTTPS 请求，进行安全测试了。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
相关文章
暂无评论...
