burpsuit教程

Burp Suite 打开的教程第一眼，很多人会被那堆标签页吓到。教程Proxy、教程Intruder、教程Repeater、教程Scanner、教程Decoder……其实真正每天在用的教程，也就那么三四个。教程我见过不少新手把 Burp 当成“抓包工具”就完事了，教程抓完一个请求，教程看一眼，教程关掉。教程这跟买了个瑞士军刀只用来开啤酒瓶差不多。教程

先说 Proxy。教程这是教程 Burp 的心脏。默认监听 127.0.0.1:8080，浏览器挂上代理，流量就全进来了。但有个细节：如果你用的是 Firefox，记得在 about:config 里把 network.proxy.allow_hijacking_localhost 设成 true，不然本地请求抓不到。Chrome 更麻烦，得装 SwitchyOmega 或者用 --proxy-server 启动参数。我习惯用 FoxyProxy，切代理快。

Intercept 开关别一直开着。新手常犯的错就是开着拦截，然后浏览器卡死，以为 Burp 崩了。其实它在等你点 Forward。正确的节奏是：需要改包的时候开，平时关掉，让流量自动流过，在 HTTP history 里回头看。

HTTP history 才是真正干活的地方。右键一个请求，Send to Repeater。Repeater 是我用得最多的模块，没有之一。改参数、改 Header、改 Cookie，点 Send，看响应。比如测试一个登录接口，把 user=admin 改成 user=admin'--，响应长度变了，说明 SQL 注入可能成立。这种手工测试比扫器靠谱得多，因为扫器会发一堆垃圾请求，而 Repeater 让你精确控制每一个字节。

Intruder 的定位是爆破和模糊测试。但它的默认线程是 1，速度慢得让人想砸键盘。改成 10 到 20 之间比较稳，再高容易把目标打挂。Attack type 里，Sniper 适合单个参数遍历，Cluster bomb 适合用户名密码组合。Payload 可以简单列表，也可以从文件加载。有个坑：Intruder 免费版限速，社区版更慢。真要跑大字典，还是用 ffuf 或者 hydra 更合适。Burp 的 Intruder 强在跟其他模块联动，比如从 Repeater 直接发过来。

Scanner 是 Pro 版才有的。被动扫描够用，主动扫描慎用——它会发大量请求，容易触发 WAF 或者把测试环境搞崩。我一般只开被动，让它默默标记可疑点，然后手动去 Repeater 验证。

Decoder 和 Comparer 是小工具但很顺手。Decoder 支持多层编码，URL、Base64、HTML、Hex 来回转。Comparer 用来对比两个响应，比如登录成功和失败的页面差异，一眼就能看出长度和关键字的不同。

Extender 是 Burp 的扩展生态。BApp Store 里装个 Logger++ 看全量日志，装个 Autorize 测越权，装个 Turbo Intruder 跑高速爆破。但别装太多，每个扩展都吃内存。我见过有人装了二十几个，Burp 启动要两分钟。

最后说配置。Project options 里把 TLS 证书导出来，装到系统信任区，不然 HTTPS 全是报错。Memory 设成 2048MB 以上，不然跑 Intruder 容易 OOM。字体调大一点，默认的太小，盯一天眼睛疼。

Burp 不是万能药。它是个手工测试的放大器，你懂漏洞原理，它帮你更快验证；你不懂，它也就是个抓包看报错的工具。花一周把 Repeater 和 Proxy 用熟，比看十小时视频教程管用。