Burpsuite2023的用教社区版其实够用了。别急着上Pro，用教先把免费版玩明白。用教

打开软件，用教默认的用教临时项目就能干活。我见过太多人一上来就折腾配置，用教结果半小时过去连拦截都没开。用教直接Next，用教Next，用教启动就完事了。用教界面上那个红色的用教"Intercept is off"按钮，点一下变蓝，用教代理就活了。用教浏览器设个127.0.0.1:8080，用教流量哗哗地流进来。用教

拦截到的包长什么样？左边是请求头，右边是响应体。你点开任何一个HTTP请求，能看到Method、URL、Headers这些基础字段。真正有意思的是右下角的"Raw"标签页——那是纯文本的请求原文，改起来最顺手。比如把GET改成POST，把参数值从1改成1'，再点右上角的"Forward"，改动就发出去了。这个操作，就是SQL注入测试的起点。

Repeater模块是个宝贝。右键任意拦截到的请求，选"Send to Repeater"，你就获得了一个可以反复蹂躏的请求副本。改一次参数点一下"Send"，响应立刻刷新在右边。我调一个登录接口的越权漏洞时，就靠它在十分钟内试了三十多组用户ID。没有它，你得反复触发前端操作，手都得抽筋。

2023版有个变化值得注意——Dashboard的UI重排了。任务区域现在分"Default tasks"和"User tasks"，新手容易懵。其实别管那些预设，自己点"New scan"选"Scan all"就行。主动扫描会狂发请求，目标站要是没做防护，你等于帮它做了一次压力测试。轻点用，扫描线程调低到2，不然WAF一封IP你就哭了。

遇上传参加密的接口怎么办？别慌，看右上角那个"Decoder"标签。把密文粘进去，选URL decode或者Base64 decode，一层层剥。我处理过一个奇葩站点，参数先Base64再URL编码再反转字符串，三层嵌套。Decoder里连续操作三次，明文就出来了。这种逆向过程，比打游戏通关还上瘾。

扩展插件别装太多。BApp Store里那个"Turbo Intruder"确实猛，但配置复杂。2023版自带的Intruder其实够日常用了——选好爆破位置，字典加载进Payloads，线程设20，跑起来看Status码和Length列。200和302的区别，Length异常值，这些就是突破口。别迷信工具，关键是你会不会看结果。

最后说个坑。Burpsuite默认的CA证书，2023年后的新版本要求手动安装到系统信任区。不装的话，HTTPS流量全显示成乱码。去Settings里找"CA Certificate"，导出后双击导入，勾选"信任此CA"。这一步做完，世界就清净了。很多人卡在这上面，以为软件坏了，其实就差这临门一脚。