Burp Suite 的解教 Proxy 模块默认监听 127.0.0.1:8080，但这只是解教起点。真正让渗透测试人员头疼的解教，是解教目标站点启用了 HTTPS 以及各种客户端校验。我见过太多人卡在证书信任这一步，解教浏览器红着脸报错，解教然后放弃。解教其实 Burp 自己就能签发 CA 证书，解教访问 http://burp 下载 cacert.der，解教导入系统或浏览器信任区，解教问题就解决大半。解教Firefox 有自己的解教证书库，得单独导入，解教Chrome 走系统库，解教macOS 上还要在钥匙串里把信任设为“始终信任”。解教这一步不做，后面全是徒劳。

拦截 HTTPS 流量时，如果目标 App 做了证书固定（Certificate Pinning），Burp 的证书会被拒绝。去年测一个金融类安卓应用，抓包全是 400。后来用 Frida 配合 objection 把 pinning 绕过去，才看到明文。具体命令：objection -g com.example.app explore，然后 android sslpinning disable。这招对大多数基于 OkHttp 的 App 有效，但遇到 Flutter 或自定义 SSL 栈就得换思路，比如改 smali 或 hook 底层函数。工具是死的，思路得活。

爆破登录接口是常见需求。Intruder 模块里，先把请求发到 Intruder，标记用户名和密码位置。Attack type 选 Cluster bomb，两个 payload 集分别加载字典。线程数别开太高，20 左右比较稳，否则目标 WAF 直接封 IP。有一次我设了 50 线程，结果三秒后所有请求超时，换 IP 才恢复。后来学乖了，先跑 5 线程测响应时间，再逐步加。另外记得关掉“URL 编码”选项，除非密码里有特殊字符，否则会把 admin 变成 %61%64%6d%69%6e，白白浪费请求。

Repeater 的手动测试更考验耐心。修改参数后按 Ctrl+R 发送，观察响应长度和状态码。有个技巧：把响应渲染成浏览器视图，有时候 JSON 里藏着重定向链接，直接点就能进后台。还有一次，我在 Cookie 里把 role=user 改成 role=admin，页面没变，但返回头多了个 X-Admin: true，顺着这个头去构造请求，居然拿到了管理员接口。这种细节，扫描器扫不出来，全靠人眼盯。

Scanner 模块别全信。主动扫描会发大量 payload，容易把生产环境搞挂。我通常只对测试环境开主动扫描，生产环境用被动扫描，让它默默记录参数和漏洞线索。有一次被动扫描报了个 SQL 注入，手动验证发现是误报——参数值里有个单引号触发了 WAF 的拦截页面，Scanner 把拦截当成了注入。所以任何报告都得人工复核，别直接抄进交付文档。

最后说个坑：Burp 的默认内存配置是 1GB，跑大项目时经常卡死。找到安装目录下的 BurpSuite.vmoptions，把 -Xmx 改成 4096 甚至 8192，重启后流畅很多。Mac 用户如果通过 Homebrew 安装，配置文件在 /usr/local/opt/burp-suite 里。这不算破解，但能让你的“破解”过程少崩几次。工具终究是工具，思路和耐心才是渗透测试的门槛。