抓包工具burp

打开 Burp Suite 的抓包那一刻，你会看到一个仿佛上世纪九十年代风格的工具 Java 桌面窗口。灰白色的抓包面板，密密麻麻的工具标签页，左边一列按钮排得整整齐齐。抓包第一次用的工具人多半会愣住——这玩意儿到底从哪下手？但就是这么一个界面谈不上任何美感的工具，成了 Web 安全测试领域事实上的抓包标准配置。搞渗透测试的工具人，电脑里几乎不可能没有它。抓包

Burp 的工具核心能力其实就一件事：拦截并修改 HTTP/HTTPS 流量。浏览器和服务器之间的抓包每一次请求与响应，它都能卡在中间让你看个清楚。工具这个“中间人”的抓包角色听起来简单，但由此衍生出的工具功能链条极其长。Proxy 模块负责截包，抓包Repeater 让你手动反复发同一个请求、每次微调一个参数看回显变化，Intruder 把请求里的某个位置变成字典爆破点，Scanner 自动跑漏洞规则，Spider 爬取站点链接。这几块拼在一起，基本覆盖了 Web 渗透测试从信息收集到漏洞验证的完整流程。

我刚开始用 Burp 的时候，最不习惯的是它的证书配置。HTTPS 流量要解密，必须把 Burp 自带的 CA 证书装进浏览器或系统信任区。这一步卡了不少新手——浏览器提示证书不受信任，抓到的包全是乱码，折腾半天才发现是证书没导入对。Firefox 有自己的证书库，Chrome 走系统证书，Burp 在 Proxy 的 Options 里能一键导出 der 格式的证书文件，但很多人第一次就是找不到那个按钮在哪。

Proxy 的历史记录列表是我用得最多的功能。所有经过的请求按时间排列，可以按域名、状态码、MIME 类型过滤。找到一个可疑的接口，右键发送到 Repeater，然后就在 Repeater 里慢慢磨。改参数、换请求方法、删掉某个 header，看服务器怎么回应。这个过程有点像调试代码——你提出假设，构造输入，观察输出，逐步缩小范围。Repeater 的界面也简单，左边请求右边响应，中间一个 Send 按钮，干净利落。

Intruder 是另一个高频模块。它把请求里标记的位置替换成 payload 列表里的值，一个一个发出去。四种攻击模式里，Sniper 最常用，一次只替换一个位置；Cluster bomb 可以同时跑多个位置的笛卡尔积，适合撞用户名加密码的组合。Intruder 的社区版限速严重，跑大字典基本等于自虐，但 Pro 版没有这个限制。很多人就是冲着 Intruder 的速度去买的 Pro，一年 399 美元，对个人来说不便宜，对公司来说倒也不算大钱。

Scanner 的争议一直存在。自动扫描能发现一些明显的 SQL 注入、XSS、路径遍历，但误报和漏报都不少。有经验的测试者不会完全依赖它，而是把它当辅助——先手动摸清业务逻辑，再用 Scanner 跑一遍做补充。Burp 的 Scanner 在 Pro 版里才完全开放，社区版只有个阉割过的版本。这个定价策略让不少人转向了 ZAP 或者别的开源替代品，但 Burp 的生态和插件系统还是留住了大部分专业用户。

BApp Store 里的插件是 Burp 真正有意思的地方。比如 Logger++ 把流量记录做得比原生更强大，Turbo Intruder 用 Python 脚本驱动高速爆破，JSON Web Tokens 插件专门处理 JWT 相关的测试。这些插件大多是社区开发者写的，质量参差不齐，但总有几个能大幅提升效率。装插件的过程也简单，在 BApp Store 里点 Install 就行，Burp 会自动下载并加载。

要说缺点，Burp 的 UI 确实老旧，Java Swing 的界面在高分屏上字体发虚，暗色主题也是后来才加上去的。内存占用也不小，开久了动辄吃掉一两个 G。但这些东西在功能面前似乎变得可以忍受——毕竟渗透测试的时候，你盯着的是请求和响应，不是界面好不好看。

用 Burp 的时间越长，越觉得它像一个工作台而不是一个工具。每个模块各司其职，数据在不同模块之间流转，你在这个台面上拆解、重组、观察、推断。它不替你做决定，只是把 HTTP 通信的每一个细节摊开在你面前。剩下的，靠你自己的判断。