burp使用教程

Burp Suite 最值钱的使用功能不是那些花哨的扫描器，是教程 Proxy 和 Repeater 的配合。我见过太多人打开 Burp 就直奔 Scanner，使用结果连请求包都没看懂。教程先把代理配好，使用浏览器流量走 127.0.0.1:8080，教程Burp 的使用 Proxy 标签页里 Intercept 设成 off，让流量先跑起来。教程这时候去 HTTP history 里翻，使用你会看到一堆请求——重点看那些带参数的教程、带 cookie 的使用、返回 JSON 的教程。右键 Send to Repeater，使用这才是教程干活的开始。

Repeater 里改一个参数，使用点 Send，看响应变化。比如某个查询接口 ?id=1001，改成 ?id=1002 返回了别人的数据，这就是越权。别急着写报告，先试试 ?id=1001'，看报不报 SQL 错误。报错信息里带 You have an error in your SQL syntax，那就有戏。Burp 的 Repeater 支持多标签，把正常请求和测试请求并排开着，改一个参数对比一次响应，效率比在浏览器里刷新高十倍。

Intruder 别乱用。它的四种攻击类型里，Sniper 适合测单个参数，Battering ram 适合同一个 payload 打多个位置，Pitchfork 和 Cluster bomb 是组合爆破。我一般只拿它跑目录扫描和简单密码爆破。真正复杂的逻辑漏洞，Intruder 帮不上忙——比如优惠券叠加、支付金额篡改，这些得靠手动改包。有个案例：某电商下单接口把 price 字段放在请求体里，前端显示 199，抓包改成 0.01，服务端居然接受了。这种漏洞扫描器扫不出来，只有人眼盯着请求体才能发现。

Decoder 和 Comparer 是隐藏利器。Decoder 里把 base64 的 cookie 解出来，经常能看到 user=admin 这种明文。Comparer 用来对比两个响应包的差异——比如登录成功和失败的返回长度差几个字节，可能是 true 和 false 的区别。我习惯把 Comparer 设成 word 模式，差异部分会高亮，比肉眼扫快得多。

Project options 里的 Match and Replace 能省很多事。比如测试 JSON 接口时，自动把 Content-Type: application/json 加上；或者把请求里的 User-Agent 统一改成某个特定值，方便过滤日志。Session handling rules 更狠——遇到 CSRF token 每次请求都变的情况，写个宏自动提取 token 并替换到后续请求里。这个功能救过我一次：某系统每个请求带一个动态 token，手动复制粘贴了二十次后我受不了了，花半小时配好宏，后面几百个请求全自动跑完。

最后说个坑。Burp 默认不拦截 HTTPS，浏览器会报证书错误。去 Proxy > Options > Import / export CA certificate，导出 DER 格式的证书，导入浏览器信任列表。Firefox 单独设代理，Chrome 用 SwitchyOmega 插件切。别用系统全局代理，不然其他软件流量也走 Burp，日志会乱成一锅粥。还有，测试生产环境前先确认授权——我见过有人拿 Burp 扫了不该扫的站，结果收到律师函。工具本身没罪，用的人得清楚边界在哪。