打开Burp Suite，使用第一件事是使用确认代理监听端口。默认8080，使用但很多开发环境会占用这个端口，使用我习惯改成8088。使用浏览器插件FoxyProxy切到对应代理，使用HTTP历史记录里立刻开始刷出请求。使用没配置CA证书的使用话，HTTPS站点全是使用报错，得先访问http://burp下载证书，使用导入系统信任区。使用这一步卡过不少人，使用尤其是使用Firefox，它有自己的使用证书库，得单独导入。使用

Proxy模块的Intercept开关是使用频率最高的功能。开启后，每个请求都会被暂停，你可以修改参数、删除字段、甚至改请求方法。测试登录接口时，把username改成admin' or 1=1--，看响应是否返回异常数据。不过现在很多框架有预编译，注入未必成功，但观察错误回显本身就是信息收集。我遇到过返回500错误但页面显示“用户名不存在”的情况，说明后端做了统一异常处理，这种细节比直接报SQL错误更有价值。

Repeater适合手动调参。右键请求发到Repeater，修改Cookie里的sessionID，观察权限是否变化。有一次测试电商网站，把user_id从1001改成1002，直接看到了别人的订单地址。这种水平越权漏洞在Repeater里验证最快，改一个数字，点Send，响应里就泄露了手机号和收货信息。Intruder则用来跑字典，比如枚举验证码或者爆破弱口令。注意线程别开太高，否则目标服务器可能封IP。我一般设5到10个线程，配合Grep Match标记成功响应。

Scanner模块分主动和被动。被动扫描不发送额外请求，只分析已有流量，适合生产环境。主动扫描会发大量Payload，可能触发WAF。有一次对测试站开主动扫描，不到三分钟IP就被封了。后来改用被动扫描加手动验证，效率反而更高。报告生成功能可以导出HTML或XML，但默认模板太啰嗦，我通常只勾选High和Medium级别的漏洞，Low级别的信息泄露自己记笔记就行。

Comparer和Decoder是辅助工具。Comparer用来对比两个响应体的差异，比如登录成功和失败返回的字节数不同。Decoder做Base64、URL、HTML编码转换，测试XSS时经常要把<script>转成%3Cscript%3E。这些功能不起眼，但省去开在线工具的时间。Extender可以装插件，比如Logger++记录所有请求，或者Turbo Intruder做高速爆破。不过插件装多了Burp会卡，我一般只留两三个常用的。

实际工作中，Burp Suite很少单独用。配合浏览器开发者工具看前端逻辑，用sqlmap验证注入点，用nmap扫端口。Burp的核心价值在于它把请求拦截、修改、重放、扫描串成了一条线。新手容易陷入“抓包就是Burp”的误区，其实抓包只是第一步，分析参数含义、推测后端逻辑、构造边界测试用例，这些才是手动测试的关键。工具再强，也替代不了对业务的理解。

(责任编辑：综合)