burp抓包软件下载

Burp Suite的抓包下载页面常年挂着“Community Edition”的免费按钮，但真正干活的软件人都知道，那个社区版阉割得只剩半条命。下载我见过太多新手兴冲冲装完社区版，抓包跑完一遍扫描器，软件然后对着满屏的下载“Manual testing only”弹窗发愣——这玩意儿连个重放请求的Repeater都得手动开。

所以别急着点那个绿色大按钮。抓包先想清楚你要哪一版。软件专业版一年399美元，下载贵是抓包贵，但你要是软件靠渗透测试吃饭，这笔钱买的下载是时间。社区版也不是抓包不能用，只是软件你得学会忍受它每次启动时那个“Upgrade to Pro”的弹窗，以及扫描器永远跑不完的下载假阳性。我自己的做法是：电脑里装两个版本，社区版留着写简单脚本时用，专业版挂在虚拟机里处理正经项目。

下载渠道这步反而最容易被忽视。官网下载页会检测你的操作系统，Windows用户记得选“Windows Installer”而不是那个“JAR”文件——除非你电脑里已经配好了Java 11以上的环境，否则光配置classpath就能耗掉你半小时。Mac用户倒是省心，直接拖进Applications文件夹就行。但Linux用户注意了，那个.sh脚本得先chmod +x，不然双击只会报权限错误。

安装过程有个坑：默认安装路径千万别带中文或空格。我见过有人装在“C:\Program Files (x86)\BurpSuite”下，结果插件加载时路径解析直接崩掉，报错信息还特隐晦，只写个“Failed to load extension”。改成纯英文路径后，问题瞬间消失。

启动后第一件事不是抓包，是调代理。浏览器插件SwitchyOmega或者系统代理设置，把端口指向127.0.0.1:8080。这一步卡住的人最多——他们忘了Burp默认只监听本地回环地址，手机要抓包还得额外设置“Invisible Proxy”选项。顺带说一句，要是你连HTTPS证书都不装，那抓到的全是加密乱码，别到时候对着十六进制流发懵。

版本更迭这块，我建议直接上2024.11版。别迷信“最新版一定最好”的鬼话——上次更新后Intruder的Payload位置标记改了默认样式，老宏脚本全得重写。但2023.9以前的版本又有CVE-2023-38408的漏洞，裸奔在公网上就是找死。折中方案是：生产环境用2024.11，测试环境留着旧版对比行为差异。

最后说个冷知识。Burp的下载页面藏着个“Previous releases”链接，在页面最底部，字小得跟免责声明似的。点进去能翻到所有历史版本，包括那些已经停止支持的旧版。如果你要复现某个老漏洞的测试环境，这地方比官方更新日志好用多了。当然，下载旧版前记得查一下对应的Java版本要求，不然装完启动直接白屏，那画面可不好看。