内容摘要：burpsuite 的许可证密钥文件，本质上就是一个名为 BurpSuite.license 的纯文本文件。它里面只存了一段经过签名的 JSON 数据，PortSwigger 的服务器用它来验证你的版

burpsuite 的可证许可证密钥文件，本质上就是密钥一个名为 BurpSuite.license 的纯文本文件。它里面只存了一段经过签名的文件 JSON 数据，PortSwigger 的可证服务器用它来验证你的版本、到期时间和授权类型。密钥你把它丢进用户目录下的文件 .BurpSuite 文件夹，启动时软件读到它，可证就知道该不该给你解锁 Pro 功能。密钥

我见过太多人把破解补丁和 license 文件混为一谈。文件补丁是可证改字节码，绕验证；license 文件是密钥走正规签名流程，只是文件签名被伪造了。两者原理完全不同。可证前者风险高，密钥杀软直接报毒；后者只要签名算法没被彻底废弃，文件就能一直用。这就是为什么网上流传的“burp 许可证密钥文件”大多是一个 .txt 或 .json 文件，而不是 .jar 替换包。

文件内容长什么样？我用文本编辑器打开过一个 2023 年的泄露版，里面大概是：

{  "license_id": "abc123-...", "product": "BurpSuitePro", "expires": "2099-12-31", "signature": "MEUCIQ...base64..." }

关键是那个 signature 字段。PortSwigger 用 RSA 私钥对前面的字段签名，客户端用内置公钥验签。破解者搞不到私钥，但他们可以改客户端里的公钥——把验签用的公钥换成自己生成的配对公钥，然后用自己私钥重新签名。所以一个能用的 license 文件，往往配套一个修改过的 burp-loader.jar 或 BurpSuitePro.jar。单独一个 license 文件，放到原版 burp 里，启动就报 “Invalid license”。

我亲测过。去年帮一个做渗透测试的朋友装环境，他从某论坛下载了一个号称“永久 license”的文件，直接扔进 ~/.BurpSuite/，结果 burp 启动后弹窗说签名不匹配。后来发现那个帖子只给了 license 文件，没给 loader。换了一个带 loader 的整合包，才正常激活。loader 的作用就是在内存里替换公钥，或者干脆跳过验签逻辑。

那这个文件能不能自己生成？理论上可以，但你需要逆向出 burp 的验签逻辑，找到公钥硬编码的位置，替换成自己的，再用自己的私钥签名。这活儿不难，但费时间。网上现成的生成器，比如 BurpSuiteKeygen，其实就是帮你做了这件事：它内置了修改后的公钥和对应的私钥，你填个用户名和到期日，它吐出一个 license 文件。但注意，这种 keygen 生成的 license 只能配合它指定的 loader 版本使用。burp 一升级，公钥位置变了，loader 失效，license 也跟着废。

另外，license 文件里的到期日可以随便写，比如 2099 年。但 burp 启动时会联网检查吗？不会。它只做本地验签。所以只要你断网装好，或者 hosts 屏蔽 portswigger.net，它就不会偷偷上报。不过新版本 burp 加了遥测，会发一些匿名数据，但不影响 license 验证。

最后说个坑。很多人把 license 文件放在 burp 安装目录下，而不是用户目录。Windows 下正确路径是 C:\Users\你的用户名\.BurpSuite\BurpSuite.license，macOS 和 Linux 是 ~/.BurpSuite/BurpSuite.license。放错了，burp 读不到，照样弹试用版窗口。我见过有人折腾一晚上，最后发现是路径少了个点。