Burp 如何抓 HTTPS 请求（PC 和 APP）

约定不等于承诺〃 2022-05-21 13:30 612阅读 0赞

## **0x00：前言** ##

前段时间碰到一个测试小程序的需求，访问的是 https 的，去网上搜索了一下如何配置，都是关于 Burp 和浏览器配置的，千篇一律。搜的 Burp 抓手机 https，不是要 root 就是要 xposed 框架，后来跟同事请教讨论了一下，简单总结下，mark 一下。

## 0x01：PC 怎么配置 ##

配置电脑端的浏览器，首先，你需要有 burp 的证书。获取方法：打开 burp，配置好浏览器后，访问 http ://burp，点击 CA Certificate 下载即可。

![请输入图片描述][format_png]

下载后需要导入浏览器，以火狐为主（版本为 20180708 最新版，根据时间推移，可能会更新，此方法可能不再适用，但大同小异），找到隐私与安全下的查看证书，选择证书颁发机构一栏，导入即可，导入的名称为 PortSwigger CA。如下图：

![请输入图片描述][format_png 1]

随后，就可以抓 https 包了，如下图：

![请输入图片描述][format_png 2]![请输入图片描述][format_png 3]

需要注意的是，chrome 下不可以，有拦截机制，https 的一律不准抓，所以可以使用 firefox 或 ie 或其他浏览器。

## 0x02：APP 怎么配置 ##

首先需要导出 burp 证书，因为需要的是 cer 格式，而不是 der 的，所以这次不从浏览器下载了，而是从 burp 中导出证书。打开 burp 的 proxy 项下的 options 栏，点击 Import/export CA certificate，如下图：

![请输入图片描述][format_png 4]

随后选择 Export 下的 Certificate in DER format，然后下一步，如下图：

![请输入图片描述][format_png 5]

选择文件的存储位置，输入名称 + 后缀，比如 cacert.cer，如下图：

![请输入图片描述][format_png 6]

然后点击保存，随后下一步，如下图：

![请输入图片描述][format_png 7]

最后，会提示导出成功，点击 close 关闭即可，如下图：

![请输入图片描述][format_png 8]

然后将这个证书传到手机上，问 qq 可以么，答案是可以。例如我通过 qq 的我的电脑传给手机。传到手机后，需要安装，先说一个最简单的方法，就是直接点开那个证书，就可直接安装，如果提示文件暂不支持本地查看，那就选择用其他应用打开。这时候就会跳出安装证书页，凭据用途选择 VPN 和应用，如下图：

![请输入图片描述][format_png 9]

点击保存即可。另外一个安装方法就是打开手机的设置，手机不同可能位置不一样，oppo 的在其他设置下的安全与隐私中有一个从存储设备安装证书，小米手机在更多设置下的系统安全有一个从 sd 卡安装凭据。基本上就是去其他设置找关于隐私的安全的栏目。点开后选择证书的存储位置，这时候就和刚才 qq 里安装的一样，凭据用途选择 vpn 和应用，保存即可。

![请输入图片描述][format_png 10]

这时候可以点击信任的凭据栏，查看已经安装的证书，我的在用户里，名称为 PortSwigger，如下图：

![请输入图片描述][format_png 11]

这时候把手机和电脑连在同一个局域网或同一个无限，把手机代理设置为电脑的 ip 地址，用手机访问 https 应用或地址，会发现 burp 可以抓包了，如下图：

![请输入图片描述][format_png 12]

![请输入图片描述][format_png 13]

![请输入图片描述][format_png 14]

网站的 https 或 app 应用以及小程序都可以以此来做测试。

--------------------

**                                                                        公众号推荐：aFa攻防实验室**

**分享关于信息搜集、Web安全、内网安全、代码审计、红蓝对抗、Java、Python等方面的东西。**

![20191220230427373.jpg][]

[format_png]: /images/20220521/ea289be41b604895a81be19dd1e14100.png
[format_png 1]: /images/20220521/8a8ae03eef8b4ac8abceb56400e256de.png
[format_png 2]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9ibG9nLTEyNTE4MTYwOTguY29zLmFwLWJlaWppbmcubXlxY2xvdWQuY29tLzIwMTgwNzA3MDMucG5n?x-oss-process=image/format,png
[format_png 3]: /images/20220521/4873ff7125fa4c6e9989e69f5827ba1b.png
[format_png 4]: /images/20220521/a8e71f311e5644898ef7c6bb41fd1169.png
[format_png 5]: /images/20220521/a15c90d181ca4163953398030801f1a2.png
[format_png 6]: /images/20220521/48eb964c601643208363102e46622d27.png
[format_png 7]: /images/20220521/4943ef6a77f644dd8eb94bb961a25a28.png
[format_png 8]: /images/20220521/6e4fd5ebd7bb43c5bea991d32c4eceab.png
[format_png 9]: /images/20220521/51f33b0fdf3841a184145686b425b56d.png
[format_png 10]: /images/20220521/7e3a597f881e4215ae3ed6e87ae6ea4d.png
[format_png 11]: /images/20220521/bbd3d19b93554ca69aa38c01f028acf2.png
[format_png 12]: /images/20220521/cf081c1002a04aad95676d691d8a8be5.png
[format_png 13]: /images/20220521/c5607fddc04842a6bb22a8d7116ad3ee.png
[format_png 14]: /images/20220521/7fe214f89535470fb50fea36e1a44e8e.png
[20191220230427373.jpg]: /images/20220521/09ce90b430d341bbae159afbfbfb1857.png