如何写好一份渗透测试报告
当你连续奋战了好几天，终于合上了笔记本，想要出去透透风时，一个熟悉的问句传来：“你好，请问什么时候可以交付报告
”有成千上万的书籍讲解什么是信息安全，什么是渗透测试，也有数不清的培训课程视频。
但是，我敢打赌，在这些材料中，只有不到10%是在讲写报告的事情。
在一个完整的渗透测试过程中，有将近一半的时间都用在了编写报告上，这听起来很让人吃惊，但是也并不奇怪。
教会某人写报告不像教会某人制作一个完美的缓冲区溢出那么有意思，大部分的渗透测试人员情愿复习19次TCP数据包结构的工作原理，也不愿意写一份报告。
不管我们的渗透测试水平多么高，想要把一个很深的技术点解释的很通俗易懂，即使是完全不懂安全的人也可以理解，这是一件异常艰难的挑战。
不但得学会简单明了的解释渗透测试的结果，还得控制好时间。
这样做的好处很多，关系到客户会不会不断的采购你的服务。
有一次，我开车到350英里以外的一家客户那里做售前，当面重新解释了渗透测试报告的本内容；如果能把测试报告写的简单明了，我就不用跑这么一趟，相当于节省了一整天的时间和一整箱汽油。
举个例子：一个模糊不清的解释：“SSH版本应该被禁用，因为它含有高危漏洞，可能允许攻击者在网络上拦截和解密通信，虽然攻击者控制网络的风险很低，这减少了严重性。
”清楚的解释：“建议在这些设备上禁用SSH，如果不这样做，就有可能允许攻击者在当地网络解密和拦截通讯。
”为什么渗透测试报告如此重要
请谨记：渗透测试是一个科学的过程，像所有科学流程一样，应该是独立可重复的。
当客户不满意测试结果时，他有权要求另外一名测试人员进行复现。
如果第一个测试人员没有在报告中详细说明是如何得出结论的话，第二个测试人员将会不知从何入手，得出的结论也极有可能不一样。
更糟糕的是，可能会有潜在漏洞暴露于外部没有被发现。
举个例子：模糊不清的描述：“我使用端口扫描器检测到了一个开放的TCP端口。
“清晰明了的描述：“我使用Nmap 5.50，对一段端口进行SYN扫描，发现了一个开放的TCP端口。
命令是：nmap –sS –p 7000-8000“报告是实实在在的测试过程的输出，且是真实测试结果的证据。
对客户高层管理人员（批准用于测试的资金的人）可能对报告的内容没有什么兴趣，但这份报告是他们唯一一份证明测试费用的证据。
渗透测试不像其他类型的合同项目。
合同结束了，没有搭建新的系统，也没有往应用程序添加新的代码。
没有报告，很难向别人解释他们刚买的什么东西。
报告给谁看
至少有三种类型的人会阅读你的报告：高级管理人员，IT管理和IT技术人员。
高级管理人员根本不关心，或者压根不明白它的意思，如果支付服务器使用SSL v2加密连接。
他们想知道的答案是“我们现在到底安不安全
”IT管理对该组织的整体安全性感兴趣，同时也希望确保其特定的部门在测试过程中都没有发现任何重大问题。
我记得给三个IT经理一份特别详细的报告。
阅读这份报告后有两个人脸色变得苍白，而第三个人笑着说“太好了，没有数据库的安全问题”。
IT人员是负责修复测试过程中发现的问题的人。
他们想知道三件事：受影响系统的名称，该漏洞的严重程度以及如何解决它。
他们也希望这些信息以一种清晰而且有组织的方式呈现给他们。
最好的方法是将这些信息以资产和严重程度来进行划分。
例如“服务器A”存在“漏洞X，Y和Z，漏洞Y是最关键的。
这样IT人员就可以快速的找到问题的关键，及时修复。
当然,你可以问你的客户是否愿意对漏洞分组。
毕竟测试是为了他们的利益，他们是付钱的人
一些客户喜欢有个详细说明每个漏洞的页面，并表明受漏洞影响的资产有哪些。
虽然我已经提到了渗透测试报告三种最常见的读者，但这并不是一个详尽的清单。
一旦报告交付给客户，取决于他们用它干什么。
它可能最终被提交给审计人员作为审计的证据。
它可以通过销售团队呈现给潜在客户。
“任何人都可以说自己的产品是安全的，但他们可以证明这一点
我们可以看看这里的渗透测试报告。
“报告甚至可能最终共享给整个组织。
这听起来很疯狂，但它确实发生过。
我执行一次社会工程学测试，其结果低于客户的期望。
被触怒的CEO将报告传递给整个组织，作为提高防范社会工程攻击意识的一种方式。
更有趣的是，几周后当我访问同一个公司做一些安全意识的培训。
我在自我介绍时说，我就是之前那个负责社工测试的人。
愤怒的目光，嘲讽的语气，埋怨我给他们所有人带来多少麻烦。
我的内心毫无波动，答道：“把密码给我总比给真正的黑客好。
”报告应该包含什么
有时候你会很幸运的看到，客户在项目计划之初就表明他们想要的报告内容。
甚至有一些更为细小的要求，比如，字体大小和线间距等。
但是这只是少数，大部分客户还是不知道最终要什么结果，所以下面给出一般报告的撰写程序。
封面封面是报告的第一面窗户，封面页上包含的细节可以不那么明显。
但是测试公司的名称、标志以及客户的名称应该突出显示。
诸如“内部网络扫描”或“DMZ测试”测试标题也应该在那里，对于相同的客户执行多个测试时，可以避免混淆。
测试时间也要写上，随着时间的推移，用户可以清楚的得知他们的安全状况是否得到了改善。
另外该封面还应包含文档的密级，并与客户商定如何保密好这份商业上的敏感文件。
内容提要我见过一些简直像短篇小说一样的内容提要，其实这部分一般要限制在一页纸以内。
不要提及任何特定的工具、技术，因为客户根本不在乎，他们只需要知道的是你做了什么，发现了什么，接下来要发生什么，为什么，执行摘要的最后一行应该是一个结论，即明确指出是该系统是安全还是不安全。
举个例子：一个糟糕的总结：“总之，我们发现一些地方的安全策略运作良好，但有些地方并未遵从。
这导致了一定风险，但并不是致命风险。
”一个优秀的总结：“总之，我们发现了某些地方没有遵守安全策略，这给组织带来了一个风险，因此我们必须声明该系统是不安全的。
”漏洞总结将漏洞列表放在一个页面上，这样，IT经理便可以一目了然的知道接下来要做什么。
具体怎样表现出来，形式多样，你可以使用花哨的图形（像表格或图表），只要清晰明了就行。
漏洞可以按类别（例如软件问题，网络设备配置，密码策略）进行分组，严重程度或CVSS评分——方法很多，只要工作做得好，很容易理解。
测试团队的详细信息记录测试过程中所涉及的每一个测试人员的名字，这是一个基本的礼节问题，让客户知道是谁在测试他们的网络，并提供联系方式，以便后续报告中问题讨论。
一些客户和测试公司也喜欢依据测试的内容向不同的测试小组分配任务。
多一双眼睛，可以从不同的角度查看系统的问题。
工具列表包括版本和功能的简要描述。
这点会涉及到可重复性。
如果有人要准确复现您的测试，他们需要确切地知道您使用的工具。
工作范围事先已经同意，转载作为参考是有用的。
报告主体这部分才是报告的精华，报告的正文应包括所有检测到的漏洞细节，如何发现漏洞，如何利用漏洞，以及漏洞利用的可能性。
无论你做的是什么，都要保证给出一个清晰的解释。
我看过无数份报告，都是简单的复制粘贴漏洞扫描的结果，这是不对的。
另外报告中还应包括切实贴合的修复建议。
最终交付在任何情况下任何一份报告应该加密传输。
这虽然是常识，但往往大家就会摔倒在最后的这环上。
渗透测试学习些啥呀
课程目录：1 web安全现状介绍2 本地测试环境搭建2.1 网站软件应用介绍2.1.1 B\\\/S和C\\\/S架构讲解2.1.2 静态网站讲解2.1.3 动态网站讲解2.2 WEB服务器详解2.3 asp.net环境手把手搭建2.3.1 IIS环境简介2.3.2 安装前的准备工作2.3.3 安装步骤教学2.3.4 环境测试演示2.4 php环境搭建方法讲解2.4.1 lamp and wamp讲解2.4.2 安装前的准备2.4.3 安装步骤2.4.4 环境测试2.5 jsp环境搭建2.5.1 tomcat 介绍2.5.2 tomcat安装前的准备2.5.3 tomcat安装步骤2.5.4 JSP环境测试2.6 FTP环境搭建2.6.1 FTP服务概述2.6.2 安装FTP服务2.6.3 配置默认FTP站点2.6.4 配置虚拟目录2.6.5 FTP命令行访问方式讲解2.6.6 WEB访问方式讲解2.6.7 FTP客户端软件演示2.7 小结3 深入web请求过程讲解3.1 发起HTTP请求3.2 HTTP协议解析3.2.1 查看HTTP请求3.2.2 模拟HTTP请求3.3 截取HTTP请求3.3.1 WinSock Expert 使用3.3.2 burp suite 初体验3.3.3 Fiddler2 完美拦截3.4 DNS域名解析3.4.1 dns概述3.4.1 dns域名解析过程3.4.2 跟踪域名解析过程3.5 小结4 信息收集4.1 Google Hack语法讲解4.1.1 收集子域名方法讲解4.1.2 敏感信息收集利用4.1.3 搜索引擎的高级用法4.2 Namp工具讲解4.2.1 Nmap简介4.2.1 探测主机端口4.2.3 探测主机系统4.2.4 批量扫描4.2.5 其它扫描选项4.3 ScScanner初体验4.3.1 暴力破解子域名4.3.2 探测WEB服务器4.3.3 同服站点探测4.4 扫描工具原理解密4.5 总结5 漏洞扫描检测5.1 IBM AppScan5.2 Burp suite5.3 WVS(Web Vulnerability Scanner)5.4 Hp WebInspect5.5 其它扫描工具介绍环境搭建，信息探测，以及漏洞扫描第二篇【原理探测】 5 注入漏洞5.1 注入原理5.1.1 sql注入原理5.1.1 access 注入讲解5.1.2 mysql 注入讲解5.1.3 sqlserver 注射5.1.4 oracle 注入讲解5.1.5 小结5.2 注入扩展练习5.2.1 数据库函数学习5.2.2 编码绕过技术演示5.3 各类注入工具的使用5.3.1 Sqlmap（最屌的注入工具，没有之一）5.3.2 pangolin（简单实用的注入工具）5.3.4 havij（胡萝卜）5.3.5 其它注射工具介绍5.4 注入漏洞的修复方法5.4.1 从黑客的角度谈修复5.5 总结6 文件上传漏洞6.1 上传漏洞是怎么产生的6.1.1 上传漏洞的本质6.2 从程序员的角度绕上传6.2.1 不得不说的解析漏洞6.2.2 客服端防护绕过6.2.3 服务端防护绕过6.3 常见编辑器漏洞讲解6.3.1 eweditor编辑器漏洞利用6.3.2 fckeditor编辑器漏洞利用6.3.3 其它编辑器漏洞利用6.4 上传漏洞修补6.4.1 上传漏洞修补终极法则7 XSS跨站脚本漏洞7.1 XSS攻击原理7.1.1 一个简单的xss示例7.2、XSS类型讲解7.2.1 DOM形式XSS7.2.2 反射形XSS7.2.3 储存形XSS7.3 挖掘XSS的思路7.3.1 手工挖掘演示7.3.2 工具挖掘讲解7.4 从绕过XSS看修复8 远程代码执行8.1 从3p命令看执行原理8.1.1 jsp执行漏洞模型8.1.2 php执行漏洞模型8.1.3 asp执行漏洞模型8.2 命令执行漏洞修复9 包含漏洞9.1 包含漏洞原理9.2 从3P说包含9.2.1 jsp文件包含9.2.2 asp文件包含9.3.3 php文件包含9.3 包含漏洞修复10 其它漏洞10.1 CSRF漏洞10.2 目录遍历漏洞10.3 物理路径泄漏10.4 任意文件下载（删除）10.5 逻辑错误漏洞SQL注入，XSS，文件上传等漏洞形成原理，以及修补方案第三篇【实战经典】 11、实战入侵检测11.1 开源程序入侵检测实战11.2 其它入侵检测实战11.3 你被脱库了吗
11.3.1 脱库简介11.3.2 常见脱裤手法11.3.3 防止脱裤实战篇，也是技巧篇。
大量的实战入侵来巩固原理，各种开源网站入侵方案及修复。
第四篇【综和利用】 12 暴力破解12.1 数据库弱口令破解12.1.1 sqlserver数据库破解12.1.2 mysql数据库破解12.1.3 oracle数据库破解12.1.4 安全的数据库12.2 FTP弱口令破解12.3 其它弱口令破解12.3.1 wp后台破解12.3.2 防范让人头疼的暴力猜解13 旁注13.1 旁注解析13.1 旁注简介13.1 你的站点真的安全吗
13.2 C段解析13.2.1 C段简介13.2.1 你的服务器真的安全吗
14 提权14.1 数据库提权14.2 溢出提权14.3 第三方软件提权14.4 打造安全+1的服务器15 Arp攻击15.1 arp协议简介15.2 中间人攻击15.3 防范arp攻击16 社会工程学16.1 你安全吗
16.2 社工的艺术，进QQ群WEB渗透技术与网络安全，免费获得课程
想问一下大家都是怎么做渗透测试的呢
这个是通过多方面的渗透测试进行的，比如说服务器渗透测试、应用层测试等，具体的网堤安全可以解答。
如何通过修改burp suite 中的raw 信息进行渗透测试
刚接触web安全的时候，非常想找到一款集成型的渗透测试工具，找来找去，最终选择了Burp Suite，除了它功能强大之外，还有就是好用，易于上手。
于是就从网上下载了一个破解版的来用，记得那时候好像是1.2版本，功能也没有现在这么强大。
在使用的过程中，慢慢发现，网上系统全量的介绍BurpSuite的书籍太少了，大多是零星、片段的讲解，不成体系。
后来慢慢地出现了不少介绍BurpSuite的视频，现状也变得越来越好。
但每每遇到不知道的问题时，还是不得不搜寻BurpSuite的官方文档和英文网页来解决问题，也正是这些问题，慢慢让我觉得有必要整理一套全面的BurpSuite中文教程，算是为web安全界做尽自己的一份微薄之力，也才有了你们现在看到的这一系列文章。
我给这些文章取了IT行业图书比较通用的名称: 《BurpSuite实战指南》，您可以称我为中文编写者，文章中的内容主要源于BurpSuite官方文档和多位国外安全大牛的经验总结，我只是在他们的基础上，结合我的经验、理解和实践，编写成现在的中文教程。
本书我也没有出版成纸质图书的计划，本着IT人互联分享的精神，放在github，做免费的电子书。
于业界，算一份小小的贡献；于自己，算一次总结和锻炼。
以上，是为小记。
感谢您阅读此书，阅读过程中，如果发现错误的地方，欢迎发送邮件到 t0data@hotmail.com,感谢您的批评指正。
本书包含以下章节内容：第一部分 Burp Suite 基础Burp Suite 安装和环境配置Burp Suite代理和浏览器设置如何使用Burp Suite 代理SSL和Proxy高级选项如何使用Burp Target如何使用Burp Spider如何使用Burp Scanner如何使用Burp Intruder如何使用Burp Repeater如何使用Burp Sequencer如何使用Burp Decoder如何使用Burp Comparer第二部分 Burp Suite 高级数据查找和拓展功能的使用BurpSuite全局参数设置和使用Burp Suite应用商店插件的使用如何编写自己的Burp Suite插件第三部分 Burp Suite 综合使用使用Burp Suite测试Web Services服务使用Burp, Sqlmap进行自动化SQL注入渗透测试使用Burp、PhantomJS进行XSS检测使用Burp 、Radamsa进行浏览器fuzzing使用Burp 、Android Killer进行安卓app渗透测试第一章 Burp Suite 安装和环境配置Burp Suite是一个集成化的渗透测试工具，它集合了多种渗透测试组件，使我们自动化地或手工地能更好的完成对web应用的渗透测试和攻击。
在渗透测试中，我们使用Burp Suite将使得测试工作变得更加容易和方便，即使在不需要娴熟的技巧的情况下，只有我们熟悉Burp Suite的使用，也使得渗透测试工作变得轻松和高效。
Burp Suite是由Java语言编写而成，而Java自身的跨平台性，使得软件的学习和使用更加方便。
Burp Suite不像其他的自动化测试工具，它需要你手工的去配置一些参数，触发一些自动化流程，然后它才会开始工作。
Burp Suite可执行程序是java文件类型的jar文件，免费版的可以从免费版下载地址进行下载。
免费版的BurpSuite会有许多限制，很多的高级工具无法使用，如果您想使用更多的高级功能，需要付费购买专业版。
专业版与免费版的主要区别有Burp Scanner工作空间的保存和恢复拓展工具，如Target Analyzer, Content Discovery和 Task Scheduler本章主要讲述Burp Suite的基本配置，包含如下内容：如何从命令行启动Burp Suite<\\\/br>如何设置JVM内存 大小<\\\/br>IPv6问题调试如何从命令行启动Burp SuiteBurp Suite是一个无需安装软件，下载完成后，直接从命令行启用即可。
但Burp Suite是用Java语言开发的，运行时依赖于JRE，需要提前Java可运行环境。
如果没有配置Java环境或者不知道如何配置的童鞋请参考win7电脑上的Java环境配置 配置完Java环境之后，首先验证Java配置是否正确，如果输入java -version 出现下图的结果，证明配置正确且已完成。
这时，你只要在cmd里执行java -jar \\\/your_burpsuite_path\\\/burpSuite.jar即可启动Burp Suite,或者，你将Burp Suite的jar放入class_path目录下，直接执行java -jar burpSuite.jar也可以启动。
==注意：your_burpsuite_path为你Burp Suite所在路径，burpSuite.jar文件名必须跟你下载的jar文件名称一致==如何设置JVM内存 大小如果Java可运行环境配置正确的话，当你双击burpSuite.jar即可启动软件，这时，Burp Suite自己会自动分配最大的可用内存，具体实际分配了多少内存，默认一般为64M。
当我们在渗透测试过程，如果有成千上万个请求通过Burp Suite，这时就可能会导致Burp Suite因内存不足而崩溃，从而会丢失渗透测试过程中的相关数据，这是我们不希望看到的。
因此，当我们启动Burp Suite时，通常会指定它使用的内存大小。
一般来说，我们通常会分配2G的内存供Burp Suite使用，如果你的电脑内存足够，可以分配4G；如果你的电脑内存足够小，你也可以分配128M。
当你给Burp Suite分配足够多的内存时，它能做的工作也会更多。
指定Burp Suite占用内存大小的具体配置方法是在启动脚本里添加如下命令行参数： 假设启动脚本的名称为burp_suite_start.bat，则该bat脚本的内容为java -jar -Xmx2048M \\\/your_burpsuite_path\\\/burpsuite.jar其中参数-Xmx指定JVM可用的最大内存，单位可以是M，也可以是G，如果是G为单位的话，则脚本内容为：java -jar -Xmx2G \\\/your_burpsuite_path\\\/burpsuite.jar更多关于JVM性能调优的知识请阅读 Oracle JVM TuningIPv6问题调试Burp Suite是不支持IPv6地址进行数据通信的，这时在cmd控制台里就会抛出如下异常java.net.SocketException: Permission denied同时，浏览器访问时，也会出现异常Burp proxy error: Permission denied: connect当出现如上问题时，我们需要修改启动脚本，添加对IPv4的指定后，重启Burp Suite即可。
java -jar -Xmx2048M -Djava.net.preferIPv4Stack=true \\\/your_burpsuite_path\\\/burpsuite.jar通过 -Djava.net.preferIPv4Stack=true参数的设置，告诉Java运行环境，使用IPv4协议栈进行数据通信，IPv6协议将会被禁止使用。
这个错误最常见于64位的windows操作系统上，使用了32位的JDK第二章 Burp Suite代理和浏览器设置Burp Suite代理工具是以拦截代理的方式，拦截所有通过代理的网络流量，如客户端的请求数据、服务器端的返回信息等。
Burp Suite主要拦截http和https协议的流量，通过拦截，Burp Suite以中间人的方式，可以对客户端请求数据、服务端返回做各种处理，以达到安全评估测试的目的。
在日常工作中，我们最常用的web客户端就是的web浏览器，我们可以通过代理的设置，做到对web浏览器的流量拦截，并对经过Burp Suite代理的流量数据进行处理。
下面我们就分别看看IE、Firefox、Google Chrome下是如何配置Burp Suite代理的。
IE设置当Burp Suite 启动之后，默认分配的代理地址和端口是127.0.0.1 ：8080,我们可以从Burp Suite的proxy选项卡的options上查看。
如图：现在，我们通过如下步骤的设置即可完成IE通过Burp Suite 代理的相关配置。
启动IE浏览器点击【工具】菜单，选择【Internet】选项打开【连接】选项卡，点击【局域网设置】，进行代理设置。
在代理服务器设置的地址输入框中填写127.0.0.1,端口填写8080，点击【确定】，完成代理服务器的设置。
这时，IE的设置已经完成，你可以访问 将会看到Burp Suite的欢迎界面。
FireFox设置与IE的设置类似，在FireFox中，我们也要进行一些参数设置，才能将FireFox浏览器的通信流量，通过BurpSuite代理进行传输。
详细的步骤如下：启动FireFox浏览器，点击【工具】菜单，点击【选项】。
在新打开的about:preferences#advanced窗口中，依次点击【高级】-【网络】，我们将会看到FireFox连接网络的设置选项。
点击【设置】，在弹出的【连接设置】对话框中，找到“http代理”，填写127.0.0.1，端口填写8080，最后点击【确认】保存参数设置，完成FireFox的代理配置。
当然，FireFox浏览器中，可以添加FireFox的扩展组件，对代理服务器进行管理。
例如FireX Proxy、Proxy Swither都是很好用的组件，感兴趣的读者可以自己下载试用一下。
Google Chrome设置Google Chrome使用Burp Suite作为代理服务器的配置步骤如下：启动Google Chrome浏览器，在地址栏输入chrome:\\\/\\\/settings\\\/，回车后即显示Google Chrome浏览器的配置界面 点击底部的【显示高级设置】，将显示Google Chrome浏览器的高级设置。
当然，你也可以直接在搜索框中输入“代理”，回车后将自动定位到代理服务器设置功能。
点击【更改代理服务器设置】，windows系统下将会弹出IE浏览器的代理设置，此时，按照IE浏览器的设置步骤，完成代理服务器的配置即可。
除了上述的三种常用的浏览器外，还有Safari浏览器也有不少的用户在使用，其代理配置请点击阅读进行查看。
第三章 如何使用Burp Suite代理Burp Proxy 是Burp Suite以用户驱动测试流程功能的核心，通过代理模式，可以让我们拦截、查看、修改所有在客户端和服务端之间传输的数据。
本章主要讲述以下内容：Burp Proxy基本使用数据拦截与控制可选项配置Options历史记录HistoryBurp Proxy基本使用通过上一章的学习，我们对Burp Suite代理模式和浏览器代理设置有了基本的了解。
Burp Proxy的使用是一个循序渐进的过程，刚开始使用时，可能并不能很快就获取你所期望的结果，慢慢地当你熟悉了它的功能和使用方法，你就可以用它很好地对一个产品系统做安全能力评估。
一般使用Burp Proxy时，大体涉及环节如下：首先，确认JRE已经安装好，Burp Suite可以启动并正常运行，且已经完成浏览器的代理服务器配置。
打开Proxy功能中的Intercept选项卡，确认拦截功能为“Interception is on”状态，如果显示为“Intercept is off”则点击它，打开拦截功能。
打开浏览器，输入你需要访问的URL（以为例）并回车，这时你将会看到数据流量经过Burp Proxy并暂停，直到你点击【Forward】，才会继续传输下去。
如果你点击了【Drop】，则这次通过的数据将会被丢失，不再继续处理。
当我们点击【Forward】之后，我们将看到这次请求返回的所有数据。
当Burp Suite拦截的客户端和服务器交互之后，我们可以在Burp Suite的消息分析选项卡中查看这次请求的实体内容、消息头、请求参数等信息。
消息分析选项视图主要包括以下四项： Raw 这是视图主要显示web请求的raw格式，包含请求地址、http协议版本、主机头、浏览器信息、Accept可接受的内容类型、字符集、编码方式、cookie等。
你可以通过手工修改这些信息，对服务器端进行渗透测试。
params 这个视图主要显示客户端请求的参数信息、包括GET或者POST请求的参数、Cookie参数。
渗透人员可以通过修改这些请求参数来完成对服务器端的渗透测试。
headers 这个视图显示的信息和Raw的信息类似，只不过在这个视图中，展示得更直观、友好。
Hex 这个视图显示Raw的二进制内容，你可以通过hex编辑器对请求的内容进行修改。
默认情况下，Burp Proxy只拦截请求的消息，普通文件请求如css、js、图片是不会被拦截的，你可以修改默认的拦截选项来拦截这些静态文件，当然，你也可以通过修改拦截的作用域、参数或者服务器端返回的关键字来控制Burp Proxy的消息拦截，这些在后面的章节中我们会进一步的学习。
所有流经Burp Proxy的消息，都会在http history记录下来，我们可以通过历史选项卡，查看传输的数据内容，对交互的数据进行测试和验证。
同时，对于拦截到的消息和历史消息，都可以通过右击弹出菜单，发送到Burp的其他组件，如Spider、Scanner、Repeater、Intruder、Sequencer、Decoder、Comparer、Extender，进行进一步的测试。
如下图所示： 数据拦截与控制Burp Proxy的拦截功能主要由Intercept选项卡中的Forward、Drop、Interception is on\\\/off、Action、Comment 以及Highlight构成，它们的功能分别是： Forward的功能是当你查看过消息或者重新编辑过消息之后，点击此按钮，将发送消息至服务器端。
Drop的功能是你想丢失当前拦截的消息，不再forward到服务器端。
Interception is on表示拦截功能打开，拦截所有通过Burp Proxy的请求数据；Interception is off表示拦截功能关闭，不再拦截通过Burp Proxy的所有请求数据。
Action的功能是除了将当前请求的消息传递到Spider、Scanner、Repeater、Intruder、Sequencer、Decoder、Comparer组件外，还可以做一些请求消息的修改，如改变GET或者POST请求方式、改变请求body的编码，同时也可以改变请求消息的拦截设置，如不再拦截此主机的消息、不再拦截此IP地址的消息、不再拦截此种文件类型的消息、不再拦截此目录的消息，也可以指定针对此消息拦截它的服务器端返回消息。
Comment的功能是指对拦截的消息添加备注，在一次渗透测试中，你通常会遇到一连串的请求消息，为了便于区分，在某个关键的请求消息上，你可以添加备注信息。
Highlight的功能与Comment功能有点类似，即对当前拦截的消息设置高亮，以便于其他的请求消息相区分。
除了Intercept中可以对通过Proxy的消息进行控制外，在可选项设置选项卡Options中也有很多的功能设置也可以对流经的消息进行控制和处理。
可选项配置Options当我们打开可选项设置选项卡Options，从界面显示来看，主要包括以下几大板块（涉及https的功能不包含在本章内容里，后面会一章专门叙述）：客户端请求消息拦截服务器端返回消息拦截服务器返回消息修改正则表达式配置其他配置项客户端请求消息拦截客户端请求消息拦截是指拦截客户端发送到服务器端消息的相关配置选项，其界面如下： 主要包含拦截规则配置、错误消息自动修复、自动更新Content-Length消息头三个部分。
如果intercept request based on the follow rules的checkbox被选中，则拦截所有符合勾选按钮下方列表中的请求规则的消息都将被拦截，拦截时，对规则的过滤是自上而下进行的。
当然，我们可以根据自己的需求，通过【Up】和【Down】按钮，调节规则所在位置和排序。
同时，我们可以点击【Add】添加一条规则，也可以选中一条规则，通过点击【Edit】进行编辑、点击【Remove】进行删除。
当我们点击【Add】按钮时，会弹出规则添加的输入对话框，如下图：拦截规则添加时，共包含4个输入项。
Boolean opertor表示当前的规则与其他规则是与的方式（And）还是或的方式（Or）共存；Match type表示匹配类型，此处匹配类型可以基于域名、IP地址、协议、请求方法、URL、文件类型、参数, cookies, 头部或者内容, 状态码, MIME类型, HTML页面的title等。
Match relationship表示此条规则是匹配还是不匹配Match condition输入的关键字。
当我们输入这些信息，点击【OK】按钮，则规则即被保存。
如果Automatically fix missing的checkbox被选中，则表示在一次消息传输中，Burp Suite会自动修复丢失或多余的新行。
比如说，一条被修改过的请求消息，如果丢失了头部结束的空行，Burp Suite会自动添加上；如果一次请求的消息体中，URl编码参数中包含任何新的换行，Burp Suite将会移除。
此项功能在手工修改请求消息时，为了防止错误，有很好的保护效果。
如果Automatically update Content-Length的checkbox被选中，则当请求的消息被修改后，Content-Length消息头部也会自动被修改，替换为与之相对应的值。
计算机实验报告 要有心得体会的
计算机实验心得体会通过一个学期对《计算机网络实用技术》这门课程的学习，对于我来说它已不陌生。
首先对于课程安排，感觉很紧凑，几乎不遗漏任何的知识点。
理论总在实验和机试前，这样有利于我们学生接受新知识的灌输，而且把理论运用自如。
每理论课后，老师总不忘留出十几分钟的时间给我们思考的空间。
其次是对于教学，感觉老师讲课的思路很清晰，运用课件的形式讲课，很有概括性，重点“一针见血”，易于给我们把握住知识的主次。
跟着老师的教学步骤，我们慢慢吃透了课本上的知识，老师偶尔形象及幽默的比喻，易于理解接受，感觉不到课堂的枯燥，实验前，老师总会给足够的时间给我们预习。
分成小组的形式，让我们形成合作的转载自百分网，请保留此标记团体，实验中不仅让我获得知识，更锻炼了我们同学之间的合作。
实验中学会了“双绞线的制作与测试”、“IP地址规划与管理”、“对等网络组网”等等。
即使操作上，我们学会了开通博客、;windows 2000 server的安装”等等。
实验后的实验报告让我们有了总结回顾的效果。
计算机网络是计算机技术和通信技术相互结合、相互渗透而形成的一门新兴学科。
21世纪的我们，必须学好科学技术才能站得住脚!!!在实验中，让我们体会到合作的重要性!!!!实验前做好准备，要了解实验目的的要求，要详读实验的步骤，实验过程要谨慎仔细等等。
。
。
相信以后更认真，努力的学习，一定可以使自己的知识更全面。
想问一下大家都是怎么做渗透测试的呢
1、喷清洗剂2、刷渗透剂 保持10min3、喷显影剂 10min 观察有没有渗透剂渗出 渗透即有缺陷 没用对比试块
新员工工作心得体会(周记)两个月
新形势下，允许人才流动，提倡双向选择，但并不意味着爱岗敬业精神已经过时，相反，在讲求效率和效益的今天，任何一个企业都不会录取那些没有敬业精神和只为金钱而活着的人。
相反，发扬爱岗敬业精神，立足本职，扎实工作，与企业共同渡过难关，用智慧重塑企业辉煌的人，却在平凡的岗位上以不平凡的工作业绩赢得了大家的称颂和学习。
一生之中，每个人都在以自己所特有的方式感受着人生的丰富多彩，把握着属于自己的每一分钟，争取着每一次机会，将自己的才华在工作中充分展现，用行动实现自己的理想，体现自己的人生价值，我所列举的只是普普通通人群中最平凡的那一部分，他们虽然不是模范，不是标兵，却在不同的工作岗位上用自己过得硬的形象打造着我们塑料厂这一不衰的品牌，如果每一位职工都能向他们一样，我们的企业必将兴旺发达。
1、团队精神至关重要 没有众人的帮助，没有人能单独完成一项事业。
一个人要想成功，必须加入团队中。
一块主板从电子线路设计到Layout的PCB设计，接着做样品，再到测试。
每一步精推细凿，任何一个环节出了一点问题，都不是一块好产品。
因此，一切成绩都是大家共同努力的结果。
2、自动自发，敬业勤力，是一个人首要的基本素质要求 自小我们都有自己的理想，并为之不懈求学，努力攀登。
长大工作了，是我们实现理想和人生价值的时刻。
不是让你做，而是你要做。
无论工作生活，都要有合理的规划，并付诸行动。
敬业爱岗更是公司发展的基石和动力。
3、要有责任心。
成功者找方法，失败者找借口 在上司交给你任务的时候，争取在有限的时间内独立思考完成。
现成的东西会叫你头脑僵化，有时类似的东西照搬会出现严重的问题。
出现问题时，不要推卸责任，要勇于承担它们，想办法补救和解决它们才是最根本的。
注意时常总结经验和教训，以便以后更好地工作。
4、尊敬领导和同事，忠于公司 闻道有先后，术业有专攻。
“一日为师，终生为父”就是这个道理吧。
与全体同仁共同进步，知识要不断更新换代，不要自满或停滞不前；毫无疑问，我们每个人都喜欢忠诚的人。
所以无论何时何地，我们要忠于公司，忠于老板，忠于上司，忠于身边每个人。
5、积极参加各项活动 这样不仅锻炼身体，更让你增长知识，开阔视野，结识更多朋友。
我们公司又有如此好的条件和设施，还有领导和工会的大力支持，愿我们大家每天都过得开心，顺心。
黄晓明观点： 1、敬业爱岗是基本的职业道德，每个员工最重要的是做自己该做的，做好自己该做的。
做一行就要爱一行，要深入下去，把自己的事情做好，哪怕是自己不愿做的工作，这就是起码的职业道德。
三年半来，我一直在工厂工作，加班在工厂是习以为常的，但是又有谁愿意天天加班呢
可是，这就是工作，是必须去做并且要做好的。
我想这也是敬业爱岗的基本要求吧
2、追求完美，尽量把每个细节做好 工作不能自满，因为世上没有十全十美的东西，它一定有许多地方是不完善的，是需要改进的。
我们应该把工作做得更好，将细节之处做得更完美，这样我们才会在工作中进步，才能提高自己的能力。
请参考,祝你演讲成功!!!‘责任铸就卓越’演讲稿 正德厚生 臻于至善 ‘正德厚生 臻于至善’，源自《尚书》和《大学》的两句话，古老中国几千年的文化传统微言大义的镌刻在了中国移动的文化史册上。
从中你读出一份怎样的勇气、智慧、仁爱，出之有神，服之有威的圣道和仁道；透出怎样一份北溟鲲鹏振翼扶摇九万里的气魄与高远，那是敢于作脊梁的恢宏志向，是绝云气、负青天的超达勇气，也是谋发展树千秋的大智慧。
2005年流火的七月，当弱柳扶风已变作浓得化不开的绿，这片阡陌纵横沟壑交织的黑土地，沉浸在缤纷耀眼的绿色告别气氛里，我告别了深爱着的校园，告别了四年童话般的菁菁生活，告别了情谊深厚如手足的同学，年少的我，梦想卓然，热情澎湃，光彩四溢，站在未来的出发口，伴着阔朗壮美洒脱自如的夕阳红云憧憬未来。
在现实中跌跌撞撞，蜕去娇柔华丽的翅膀，也曾不自知的彷徨迷惑，似乎千年的日子千年的天空就这么活着、沉默着，一程走下来，长河落日。
然而就在这时，一句‘正德厚生臻于至善’以她千年的责任千年的厚重千年的精神，净化着我的内心，唤醒沉睡的激情，斑斓着生活，让我再一次感受到存在的价值和生命的意义；一句‘正德厚生 臻于至善’以一种儒者风范，在平凡中时时闪耀的人格魅力，产生神圣的火花，给人最强撼的思想震动。
于是我知道在我们生活的这个世界上，有那么一些东西是无字的文化、无课本的教育，是一种无声息的影响，一旦渗透进生命和血液，将影响你的一生。
责任，一个凝结着厚重的字眼；人生，一个充满责任的旅程；价值，一个人生追求的目标；卓越，一个价值展现的囊括。
似乎的周而复始，但其中却孕育着必然。
人，只有承担起自己的责任，实现自我在社会中的价值，才能展现人的意义。
责任是一种承诺，在他身上承载着一个不渝的使命，只有忠实地履行这个使命，才意味着责任的实现。
在我泱泱中华，凡谓仁人，其必以责任为先，融责任于血液，浑责任于一身。
昭明德之先行以谓责之使然，谓责之既成以承中统之业，兴责之明以期遗后人之显德，以忠其责而谓仁者之首行。
试问苏武塞外牧羊38年以忠其至于国家之责任，难道不正造就了卓越于历史的成就
这难道不正是古人忠诚之责最完美的诠释
想我中华民族之五千年文化，道德之积淀，文明之承传，无不以忠于国家之民族责任为脊梁；启幼以学，必以爱国情怀示之，难道这不正是忠诚责任细微处之体现
放眼望，在创造卓越的感召下，君不见中国移动05年2,430亿元的综合营业额，君不见535亿元的综合净利润，君不见2.466亿的用户总数，君不见公司利息、税项、折旧及摊销前利润（EBITDA）达到1,333.38亿元
在优良的业绩面前，中国移动通信人不敢丝毫懈怠，面对不断变化的环境，居安思危，确立了今后的发展目标：立足于“做世界一流通信企业”，推进公司实现从优秀到卓越的新跨越。
俯首看，在创造卓越的感召下，我们身边的同事，在工作中他们让你感触最多的就是一种责任，一种执着，一种勤勉，一种创造。
我数不清他们有过多少先进事迹和感人故事，也道不尽他们做了多少无私奉献多少卓越贡献，责任在他们身上已经被分解，每一个专注的眼神，每一个手势，每一次仔细的探究，每一次无怨无悔的深夜加班，每一次风雨无阻的外出作业，无时无刻不在诠释着“责任”的含义。
他们的兢兢业业深深震撼并感染了我
是他们用最美丽的行为向我诠释了什么是“责任”，什么是“追求卓越”，是他们给我上好了人生的一课
我只希望用我最朴素的笔表达我对他们――我最亲爱的同事们最真诚的敬意
也许今天我的文字不够精彩，那么就让我向你们献上深深的一鞠躬。
作为中国移动人，我们难道不应该忠诚于祖国的通信事业吗
我们难道不应立足于自己的工作岗位，勤勉的工作吗
我们难道不应创造新的技术与价值使我们的通信事业跨入新的领域吗
这些难道不是责任所赋予我们的使命吗
难道我们不应承担这些责任去创造辉煌的未来吗
同志们，我们应该勇于承担起这份属于我们的责任，以自己的力量，实现自我的价值，创造个人的辉煌，企业的辉煌，行业的辉煌
贡献一己之力，以推同祖国通信事业的发展，以我们的力量去实现社会的富足，以己之责任铸就卓越的社会进步，民族的振兴
并以此来作为“责任铸就卓越”的最完美的诠释
因此，让我们迎着机遇和挑战，带着我们深沉博大的责任心和永不止息的卓越心，携手向前
