1.5 安全測試工具

1.5.1 Burp Suite

1.修改十六進制編碼

Inspector能夠快速查看與編輯HTTP和WebSocket報文，而無須在不同選項卡之間切換?？梢詮腂urp Suite報文編輯器右側的可折疊面板中訪問Inspector，如圖1-63所示。

Inspector中的HTTP報文參數顯示的值是從HTML、URL和Base64中自動解碼的，并且將請求和響應的參數、Cookie顯示為一對鍵值，閱讀起來更加輕松。另外，修改不可見的字符這項功能在實戰上傳漏洞繞過時比較常用，可以在報文任意的位置添加或選擇一個占位符，再將占位符修改成十六進制。例如，將空格Hex表示形式20修改為80，然后單擊下方的Apply changes按鈕即可，如圖1-64所示。

2.捕獲本地地址數據包

SwitchyOmega默認設置Burp Suite代理后，抓取不到本地請求的流量，其他地址都是正常的。在情景模式設置中，從不代理的地址列表中刪除127.0.0.1和localhost仍然無法正常抓包，解決辦法是在不代理的地址列表中添加<-loopback>，如圖1-65所示。

3.安裝Wsdler插件

Wsdler是Burp Suite的一個插件，專門用于分析和測試WebService服務定義的WSDL語言文件。在.NET中，這個文件通常保存在*.asmx?wsdl路徑下，描述了Web服務的功能和接口。該插件可以在BApp Store下安裝，如圖1-66所示。

安裝后打開Burp Suite的Proxy選項卡，在請求報文空白處右擊，可以使用“Parse WSDL”功能，如圖1-67所示。

4.安裝ViewState Editor插件

Burp Suite的ViewState Editor插件是一款用于編輯和分析.NET Web應用程序中的ViewState數據的工具。ViewState是.NET Web應用程序中的一種機制，用于在Web頁面之間保留和傳輸頁面狀態信息。ViewState Editor插件的安裝如圖1-68所示。

在Burp Suite的Proxy選項卡中打開攔截到的請求內容，ViewState通常包含在Web頁面的請求中，在MAC認證未開啟的情況下，響應頁插件會自動解碼ViewState編碼的數據，返回“MAC is not enabled”，如圖1-69所示。

目前大多數的.NET服務端默認會開啟MAC認證，因此響應頁插件無法正常解碼ViewState數據，會返回“Unrecognized format-may be encrypted”，如圖1-70所示。