内容摘要：打开Burp Suite，界面上那个写着“Proxy”的标签页就是一切开始的地方。默认情况下，它监听本地127.0.0.1的8080端口。这不是什么高深配置，你只需要让浏览器的流量从这个口子过一遍。

打开Burp Suite，抓包界面上那个写着“Proxy”的教程标签页就是一切开始的地方。默认情况下，抓包它监听本地127.0.0.1的教程8080端口。这不是抓包什么高深配置，你只需要让浏览器的教程流量从这个口子过一遍。

我用Firefox做测试，抓包在设置里找到网络代理，教程手动填上localhost和8080。抓包Chrome的教程话，装个SwitchyOmega插件会更省事。抓包配置完后随便访问一个http网站——注意是教程http，不是抓包https——Burp的Proxy标签页里立刻会出现一条条请求记录。双击任意一条，教程右边面板会展开完整的抓包请求头、请求体、响应内容。这就是抓包的本质：让你看清楚浏览器和服务器之间到底说了什么悄悄话。

第一次用的人常犯的错是忘了开拦截。Proxy标签页下方有个“Intercept is off”按钮，点一下变成“Intercept is on”，此时再刷新页面，请求会卡在Burp里不发送。你能随意修改请求参数、加个头、删个cookie，然后点“Forward”放行。这个功能测试越权漏洞时极其好用——比如把请求里的user_id从100改成101，看服务器会不会返回别人的数据。

但光看原封不动的请求还不够。右键点击某条请求，选择“Send to Repeater”，这才是Burp的精髓所在。Repeater让你脱离浏览器环境，手工构造任意请求反复发送。我调试某个登录接口时，就靠它不断变换密码字段的编码方式，最后发现后端对URL编码只解码一次，直接塞个二次编码的payload就绕过了WAF。这种细节，在浏览器里根本试不出来。

对于HTTPS流量，Burp会生成自己的CA证书。第一次访问时会弹出警告，你需要把Burp的证书下载下来，导入到系统的受信任证书列表里。步骤不复杂：浏览器访问http://burp，下载cacert.der，然后按操作系统提示导入。完事儿后，加密流量在你面前就跟裸奔一样。不过要提醒一句——这证书只装在你自己的测试环境里，别用到生产机器上。

真正让Burp强大的不是抓包本身，而是抓包后你能对流量做的一切。抓包只是入口，改包才是乐趣所在。有一次我测试一个文件上传功能，用Burp拦截上传请求，把文件名后缀从.jpg改成.php，响应居然提示上传成功。那一刻你才意识到，所谓的安全防护，在Burp面前可能只是层窗户纸。

最后说个实际点儿的。抓包时如果发现页面加载特别慢，多半是Burp在后台处理大量并发连接。这时候把Proxy标签里的“Response”选项卡关掉，只保留请求拦截，速度能快不少。还有，抓包结束后记得把代理设置改回来，否则你会发现整个电脑的流量都走不通了——这毛病我犯过不下五次。