burpsuite抓包软件

Burpsuite这玩意儿，包软说白了就是包软给HTTP请求做手术用的。我第一次用的包软时候，感觉像拿到了黑客的包软万能钥匙——浏览器里随便点一下，流量就被它截住了，包软你能看到每一个请求的包软完整骨骼：Header、Cookie、包软参数，包软连服务器回包时那微秒级的包软延迟都无处遁形。

它的包软核心价值就一个字：改。改完再发，包软看服务器怎么反应。包软这跟平时用浏览器调试工具完全是包软两码事。F12里你只能看，包软Burpsuite让你插手。包软比如登录接口，你抓到一个POST请求，把用户名参数改成`admin' or 1=1--`，再放行，服务器返回的响应码从200变成302，那基本就说明SQL注入的点找到了。这种操作在真实渗透测试里每天上演。

Proxy模块是入口，但真正让人上瘾的是Repeater。一个请求包，右键Send to Repeater，然后就能无限次手工重放。改一个参数，点Go，看响应；再改一个，再Go。这种试错速度比写脚本快得多，尤其适合测那种逻辑漏洞——比如支付金额能不能改成负数，优惠券能不能叠加使用。

Intruder模块则更暴力一点。它就是个自动化的爆破机器。你给它一个字典，它能把用户名和密码的所有组合全打一遍。有个朋友拿它测自家网站，字典里放了10万条弱口令，跑了一晚上，第二天早上发现真有三个账号用的是`password123`。他当时后背发凉，但这就是现实——用户永远比你想象的懒。

别忘了还有个叫Comparer的小工具，专门比对两个响应包的差异。测越权漏洞时特别好用：用A账号的Cookie访问B账号的资源，把两个响应拉到一起，看哪里多了字段、哪里少了权限标记。有时候差异就藏在响应头里，肉眼扫一遍容易漏，Comparer直接标红高亮，省了不少眼力。

用Burpsuite最烦的一件事是——它默认的证书校验会拦掉HTTPS流量。第一次装的时候，我愣是折腾了半小时才搞明白要在浏览器里导入它的CA证书。后来学乖了，直接装个FoxyProxy插件，一键切换代理配置，省得每次手动改浏览器设置。

还有个坑，就是它本身是个Java程序。内存一吃多就卡，尤其是Intruder跑大字典的时候，风扇呼呼转，我一度担心电脑会烧掉。后来学会了个小技巧：跑之前把线程数从默认的20降到5，速度慢点但稳定得多。毕竟做渗透测试不是比谁跑得快，是比谁跑得准。

说实话，Burpsuite社区版够用了，破解版反而容易出幺蛾子。有人图省事下载了带后门的破解版，结果抓包数据全被传到了第三方服务器——这比被测网站被攻破还讽刺。工具本身是安全的，不安全的是人。

最后提一嘴，抓包这事得讲规矩。我现在只拿它测自己负责的系统，或者有书面授权的目标。法律红线不是闹着玩的，哪怕你只是好奇，抓了别人的包，只要被举报，记录一调出来，跑都跑不掉。工具无罪，但用工具的手得有分寸。