burp设置代理

Burp Suite的设置代理设置，本质上就是代理让浏览器把流量乖乖交给Burp这个“中间人”。你不需要什么高深理论，设置记住一句话：Burp监听一个端口，代理浏览器指向那个端口，设置证书信任到位，代理剩下的设置就是抓包和改包的事。

打开Burp，代理默认界面顶部有个Proxy标签，设置点进去，代理再点Proxy Settings。设置你会看到一个监听地址，代理通常是设置127.0.0.1:8080。这个端口号你可以改，代理但没必要——除非你本机8080被占了，设置比如开了个本地服务。我习惯改成8888，纯粹因为好记。改完点Listen，Burp就开始干活了。

浏览器这边才是重头戏。以Chrome为例，设置里搜“代理”，点“打开您计算机的代理设置”。Windows系统会弹出一个Internet属性窗口，局域网设置里勾上“为LAN使用代理服务器”，地址填127.0.0.1，端口填你刚才设的。确认后，你随便访问一个HTTP网站，Burp的HTTP history里立刻就有记录。注意，HTTP流量直接可见，但HTTPS是加密的，你看到的是一堆乱码——这时候就得装证书。

证书这步最容易被新手卡住。访问http://burp，页面右上角有个CA Certificate链接，下载它。双击安装，记得选“本地计算机”而不是“当前用户”，然后一路下一步，直到“证书存储”那步，选“受信任的根证书颁发机构”。装完重启浏览器，HTTPS的流量就全裸奔了。有个坑：有些浏览器比如Firefox，有自己的证书库，得单独导入，别在系统里装了就觉得万事大吉。

代理生效后，你会发现一个现象：浏览器访问网页变慢了。别慌，这是Burp在拦截每个请求，本来就要过一道手。真正让你头疼的是那些不走系统代理的软件——比如某些命令行工具、移动端模拟器。它们默认直连，你得手动给它们设代理，或者用Burp的“Invisible Proxy”模式（监听端口上勾选Support invisible proxying），这招对付非HTTP代理协议的客户端特别管用，比如某些游戏或老旧程序。

还有一个细节容易忽略：Burp代理默认只监听127.0.0.1，也就是本机。如果你拿手机连同一个Wi-Fi，想抓手机上的包，必须把监听地址改成0.0.0.0，让Burp暴露到局域网。改完记得在手机Wi-Fi设置里手动填代理：电脑IP加端口。这时候Windows防火墙可能会弹窗拦截，选“允许访问”就行。别问我为什么知道——我第一次抓手机包时，忘了改地址，折腾了半小时才发现Burp根本没收到任何请求。

最后说个实用技巧：代理设好后，你可以在Burp的Proxy Options里勾选“Intercept Client Requests”，这下每个请求都会卡住，等你点Forward才放行。这功能用来改请求头、参数注入特别直观。但日常浏览时别开着，否则你连百度都打不开，每点一个链接都得手动点一下Forward，烦到你想砸键盘。我一般只在主动测试时开拦截，平时就让它默默记录。

代理配置这事，说破天就是“监听、指向、信任证书”三步。但真到了实战，你会遇到各种幺蛾子：代理端口被占、证书过期、系统代理被某些软件篡改。别怕，排查思路就一条：先确认Burp有没有收到包（看日志），再确认浏览器代理设置对不对（看流量走没走），最后检查证书信任状态（看HTTPS是否解密）。这三步捋顺了，天底下没有抓不到的包。