BurpSuite 是一款广泛使用的 web 应用程序安全测试工具。然而，越来越多的站点、应用程序、安全设备开始部署检测机制，以识别和阻止通过Burp的流量，这种情况导致我们在进行测试时无法正常抓包，从而影响整个测试过程，所以本文主要研究burp的常见特征以及绕过检测的隐藏方式。

HTTP特征

当使用BurpSuite时，经常会访问http://burp和http://burpsuite这类页面。这些页面主要用于导出证书，当证书导入到浏览器后就不再有实际作用。然而，这些访问行为也成为了BurpSuite的典型流量特征之一。

证书页

写个demo，模拟下检测过程

当攻击者访问index时，如果检测到burp流量特征，则直接跳转到check页面，防止进一步请求。这里使用的是iframe标签，不受跨域请求限制，除此外还有：

favicon.ico在resources/Media/路径下，删除即可，但请求后仍会返回错误页回显burp特征

1	<img src="http://burp/favicon.ico" onload="window.location.href='/hack'" onerror="console.log('无法访问目标主机')">

link

1	<link rel="stylesheet" href="http://burp/" onload="window.location.href='/hack'" onerror="console.log('无法访问目标主机')">

script

1	<script src="http://burp/test.js" onload="window.location.href='/hack'" onerror="console.log('无法访问目标主机')"></script>

检测绕过

1、关闭http://burp代理

2、设置burp主机名不走代理

报错页

即使关闭http://burp后，通过报错页仍能显示burp特征

检测绕过

关闭报错在浏览器中显示即可

WebSocket请求头检测

Sec-WebSocket-Extensions

Sec-WebSocket-Extensions是用于在 WebSocket 连接期间协商和传输 WebSocket 扩展的HTTP标头，当发起websocket连接时，会在 HTTP 请求中添加 Sec-WebSocket-Extensions 请求头，用于声明并协商使用的 WebSocket 扩展。而当websocket连接经过burp代理后会将其删除，因此这也便是明显特征之一。

开启burp代理时

关闭burp代理后

通过建立websocket连接，查看请求包中是否存在Sec-WebSocket-Extensions便可判断是否使用burp代理

检测绕过

是否Sec-WebSocket-Extensions请求头是通过burp的Strip Sec-WebSocket-Extensions headers in incoming requests设置选项决定的。默认情况下,Burp 删除此标头以减少使用扩展名的机会.如果服务器要求特定的扩展名,则可取消选中此选项.